カリフォルニア州教育局（CDE）によると、同州の公立学校に在籍する現役・元生徒の個人情報が、Educational Testing Service（ETS）のファイル転送システムからコピーされました。
ETSは非営利団体で、州との契約に基づき、州および連邦政府が義務付けるテストを運営しています。カリフォルニア州のCAASPPとELPACの評価プログラムを支援しており、CDEとのテストデータ共有にはSFTP（Secure File Transfer Protocol）サイトを利用していました。
ETSは9月25日にこのサイトで不正なアクティビティーを検知しましたが、最も早いアクセスは5月下旬にさかのぼります。
CDEの情報漏えい通知によると、「調査の結果、不正な第三者が、2026年5月22日から2026年9月18日までの期間に複数回にわたり、侵害されたログイン認証情報を使ってSFTPサイトにアクセスし、カリフォルニア州の生徒の情報を含むファイルをコピーしたことが判明しました」。
被害者数は公表されていませんが、通知には「過去3学年に在籍したすべての生徒を含むがそれに限らず、カリフォルニア州の生徒に関する情報にアクセスされ、コピーされました」と記されています。
CDE自身の在籍者数を見ると、被害の規模が見えてきます。2025〜2026年度のカリフォルニア州の公立学校には、570万人以上の生徒が在籍していました。CDEのインシデントFAQによると、影響を受けるのは、2006年までさかのぼってカリフォルニア州の学校を離れ、他校への転校がCDEに確認されていない生徒にも及びます。
侵害された記録には、生徒の氏名、生年月日、自宅住所、学校、学区、学年、州および地域の生徒ID番号、性別、人種・民族、第一言語、出身国、英語学習者としてのステータスなどが含まれる可能性があります。
さらに踏み込んだ情報を含む記録もあります。障害の有無やSection 504（リハビリテーション法504条）の対象かどうか、主たる障害の種類、テスト時の配慮事項、英語力に関するデータ、テストの登録情報や結果などです。Title I、McKinney-Vento法、軍関係者の子女としての区分に該当するかどうかも判別できる場合があります。
通知によると、ファイルに社会保障番号、パスワード、金融口座やクレジットカードの情報は含まれていませんでした。保護者や後見人の情報も対象外です。
ETSは、侵入者が使用したアカウントを停止し、SFTPサイトをオフラインにしました。対応には、安全対策を強化した代替サイトの構築も含まれます。
公式の開示資料では、ログイン認証情報がどのように侵害されたのかは説明されておらず、攻撃者も特定されていません。
通知には「法執行機関やサイバーセキュリティの専門家と協力した結果、ETSはデータが公開されるリスクを低減するための措置を講じました」とあります。ETSは詳細を明らかにしていませんが、ウェブ監視で今のところデータが公開された形跡は見つかっていないと説明しています。
CDEは10月2日付の書簡で、郡および学区の教育長とチャータースクールの管理者に本件を通知しました。家族への通知が始まる2週間前のことです。書簡によると、ETSはシステムのセキュリティを評価する間、在籍データの通常処理を停止し、一部のテスト業務も中断しました。
生徒への通知は10月16日に始まり、CDEは11月上旬まで続くとみています。影響を受けた現役・元生徒は、2年間の無料ID保護サービスに登録できます。
翻訳元: https://www.securityweek.com/one-compromised-login-exposed-millions-of-california-students-records/
