Gelukkig gebruiken wij 2-factor authenticatie op onze scholen.

Ja, want dat is onkraakbaar en niet te misbruiken...

Niets is onkraakbaar, maar de maatregel reduceert risico (en dat is het doel van beveiliging).

Uit de link op het woord "media" in het artikel:
Als de gegevens opnieuw moeten worden ingevoerd aan de hand van gegevens die buiten het systeem zijn bijgehouden dan voorziet het systeem kennelijk niet in het bijhouden van een audit trail voor het aanpassen cijfers en (dus) ook geen mogelijkheid om frauduleuze transacties ongedaan te maken (bijvoorbeeld aan de hand van het IP-adres van waaraf het gedaan is). Verder blijkt uit de mededeling dat alle leraren de gegevens moeten controleren dat ze elkaars cijfers kunnen aanpassen. Het lijkt me toch vrij duidelijk dat een leraar alleen zeggenschap hoort te hebben over de cijfers van zijn eigen leerlingen voor het vak dat hij zelf geeft, en niet aan andere cijfers moet kunnen komen. En waarom krijgt een invaller geen eigen userid met de bevoegdheden die voor dat invallen nodig zijn? Naast de al in andere commentaren genoemde tweefactorauthenticatie lijken me dit geen overbodige componenten in de beveiliging van een dergelijk systeem, ze zouden de schade aanzienlijk hebben beperkt, en als je vervolgens ook aan de leerlingen duidelijk maakt dat het sporen nalaat en met een druk op de knop wordt gecorrigeerd zal de animo om dit te proberen ook meteen een stuk minder zijn.

Een leerling die de token niet heeft krijgt geen toegang tot de cijfers.. Zoals je in het artikel leest heeft de leerling wekenlang het wachtwoord misbruikt; iets dat op onze scholen niet kan omdat je in bezit moet zijn van de token-generator..
En ja, duh, die kan je stelen... Probleem is echter dat je dan ook nog eens het ID van de token moet weten (kennis)..En een gestolen token-generator valt wel op, in tegenstelling tot een gestolen wachtwoord.