カリフォルニア州の公立学校で学力を毎年評価する州義務の共通テストを受けた数百万人の現・元生徒の名前、住所、障害記録などのデータがハッカーらに盗まれたと教育当局が金曜日に発表した。
侵害は2023年の入学者に遡るため、漏洩した情報は州の現在の公立学校の生徒570万人以上に影響を及ぼしている。カリフォルニアを離れたが、別の学校への転校を確認していない学生も影響を受けており、その起源は 2006 年に遡ります。
このデータ侵害には、カリフォルニア州に広範なサービスを提供する Educational Testing Service (ETS) が関与していました。
最初の公示は金曜日だったが、学区の指導者らは10月2日に知らせを受け取った。
州教育当局は「どのような情報が影響を受けた可能性があるかなど、事件の範囲と影響を調査し判断するため、州機関のチームと緊急に取り組んでいる」と州副副官の書簡によると、メアリー・ナイスリー。
非営利の評価組織である ETS は、春に実施される必須の Smarter Balanced テストなど、カリフォルニア州の公立学校に入学する生徒向けのテスト関連サービスの管理と提供を支援しています。この役割において、ETS は学生の人口統計、テストへの参加、評価データを管理します。
流出した情報には、生徒の学年レベル、生年月日、生徒が通う学校や学区も含まれます。ハッカーはまた、固有の学生識別番号のほか、性別、人種または民族、第一言語、出身国、英語学習者のステータスに関する情報にもアクセスしました。また、学生の障害や、低所得世帯の学生を支援するために利用できる連邦プログラムなどの学生の資格ステータスに関する情報も暴露されました。
盗まれたデータには、社会保障番号、運転免許証番号、パスポート番号、金融口座情報、クレジットカードまたはデビットカード情報、アカウントのパスワードは含まれていませんでした。親や保護者の個人情報も暴露されなかったと当局者は述べた。
ETS は 9 月 25 日にハッキングを発見しました。カリフォルニア州教育省が投稿した情報によると、その後の調査により、「権限のない者が、侵害されたログイン資格情報を使用して、2026 年 5 月 22 日から 9 月 18 日までのさまざまな時点で、カリフォルニア州の学生情報を含むファイルをコピーするために侵害されたログイン資格情報を使用した」ことが判明しました。
情報が公開されたという証拠はまだない
当局者らは、情報が公開されたという証拠はまだ発見されていないと述べた。しかし、ハッカーが身代金要求の結果が出るまで情報を秘密にしておくことが多いのも事実です。
公式リリースでは、そのような要求があったかどうかについては明らかにされていない。
あるサイバーセキュリティ専門家は、侵害された 1 つのユーザー名とパスワードに基づいてこのような大規模な侵害が発生した可能性があると懸念を表明しました。
ジョンズ・ホプキンス大学情報セキュリティ研究所のエグゼクティブ・ディレクター、アントン・ダーブラ氏は、「盗まれたログイン資格情報が、何百万もの学生の個人記録に対する数カ月のパスポートになってはいけない」と述べた。 「もしそれがここで起こったことであれば、重要な疑問は、なぜ認証保護、アクセス制限、監視システムが不正な活動を検出して阻止できなかったのかということです。」
同氏はさらに、「このような事件は、生徒データの管理方法の根本的な弱点を露呈させている。学校システムは機密情報の保管と処理を外部委託することはできるが、侵害の結果を外部委託することはできない。何百万もの生徒記録が単一のベンダーに集中している場合、1つのセキュリティ障害が州全体の問題となり、その影響は何年にもわたって子どもたちに及ぶ可能性がある。」と付け加えた。
ETSの広報担当者は同組織の慣行を擁護した。
「ETS は、第三者によって定期的に評価される包括的な情報セキュリティ プログラムを維持しています」と Christine Betaneli 氏は述べています。 「私たちは、維持しているシステムとデータを保護するために継続的に投資しています。」
ベタネリ氏は、他の「ETS顧客」は影響を受けなかったと述べた。
「監視の強化、アクセス制御の強化、セキュリティ慣行に対する第三者による更なるレビューなど、追加の安全対策を実施しました」とベタネリ氏は付け加えた。
被害の監視
現在成人している学生も含め、影響を受けた元学生は、24 か月間無料の ID 保護サービスと、ID 盗難があった場合の ID 復元支援を受ける資格があります。
当局者らは、親や保護者は、子どもの名前で不正な口座が開設されるのを防ぐために、16歳未満の子どもに対する無料のクレジット凍結を要請することを検討してもよいと述べた。
当局者らはまた、電話の発信者がETSや州、信用監視会社からのものなど、事件に関連した「予期せぬ電子メール、電話、テキストメッセージに注意してください」と警告した。
「一方的な要求に応じて、社会保障番号、パスワード、財務情報、その他の機密の個人情報を提供しないでください。」
追加情報と更新情報は、CDE Educational Testing Service Incident Web ページでご覧いただけます。
その他の注目すべき教育ハック
5月、全米で最も広く使われている教育テクノロジープラットフォームの1つであるCanvasの運営会社にハッカーが侵入し、大規模なサイバー攻撃がカリフォルニアの大学全体に混乱を引き起こした。Canvasは読書の課題が掲示され、テストを受け、学生が教師とチャットするプラットフォームだ。
この侵害により、Instructor 社は Canvas を一時的にオフラインにし、ハッカーが個人データを漏らすと脅したため、数十万人の学生や教授の授業、課題、最終準備を中断しました。
ShinyHuntersという名前のハッカーグループが攻撃の犯行声明を出した。インストラクチャは最終的に、侵害されたデータを返却するために「関与した無許可の攻撃者」と合意に達したと発表したが、その攻撃者が誰なのか、また支払いが関与しているかどうかについては言及しなかった。データのコピーが破棄されたという証拠は得られたとしているが、確実に知る方法はないと認めた。
地元の学区に対するハッキングで最も広く注目されたのは、2022年のレイバーデーの週末に起きたロサンゼルス・ユニファイドへのサイバー攻撃だった。
地区当局は被害を抑えるため、地区のすべてのコンピュータシステムをシャットダウンするという前例のない措置を講じた。学校は火曜日に予定通り開校したが、生徒、家族、教職員は60万件以上のパスワードをリセットする必要があった。丸一週間の指導が失われ、システムをさらに感染させるための「デジタルトリップワイヤー」が残されているのを技術者が発見したと多くの人が述べている。最悪の被害は施設部門で、約半分のサーバーが暗号化されており、地区職員は自分のシステムや記録にアクセスできなくなった。
学区は身代金要求を認めたが、支払いを拒否した。
学区は当初、情報漏えいによる被害を軽視していた。補足アルベルト・カルヴァーリョ氏は「広範囲にわたる影響を示す証拠はない」と述べ、影響を受けた人々を「異常値」と呼んだ。
しかし、学区はそのような記録が漏洩したことを否定していたにもかかわらず、タイムズ紙の漏洩ファイルの調査では、2005年の学生の心理的評価が判明した。また、従業員の規律記録、従業員の犯罪歴報告書、請負業者の給与データ、納税申告書、パスポートも発見された。そして、その後の地区の州への提出文書では、地区の請負業者で働いていた500人以上が社会保障番号やその他の機密情報を漏洩した可能性があることを認めた。同学区はその後、在校生60人分を含む約2,000件の生徒評価記録が投稿されたと報告した。
