- カリフォルニア州教育局の外部パートナーがデータ侵害攻撃を受ける
- 3年分の生徒（年間570万人）が影響を受けた可能性
- アクセス権は単純なパスワード窃取で取得された可能性が高い
Malwarebytesは、大規模なデータ侵害によって、カリフォルニア州の公立学校に通う現役および元生徒の数百万人分の機密性の高い個人情報が盗まれたと報告しました。
侵害が発生したのは、カリフォルニア州教育局が生徒情報の管理を委託している外部事業者、Educational Testing Service（ETS）が使用するSecure File Transfer Protocol（SFTP）システムです。
報告によると、攻撃者は4か月にわたって繰り返しシステムに侵入していました。氏名、住所、生年月日などが大量に含まれる生徒のファイルにアクセスしていたということです。
カリフォルニア州の生徒システム侵害、影響は数百万人規模か
ETSは影響を受けた生徒の人数を正式には公表していません。ただしMalwarebytesによると、同州の公立学校の生徒数は2025〜2026年度だけで570万人を超えています。州教育局は、過去3年間に在籍した生徒が影響を受けた可能性があるとみています。3年分の人数が同じだとすれば、約1700万人に上る計算です。
機密ファイルは5月22日から9月18日にかけて複数回にわたりアクセス、コピーされました。この活動が発覚したのは9月25日です。原因は結局のところ、人間の脆弱性にあります。
攻撃者はソフトウェアの脆弱性ではなく、漏えいした認証情報を使って侵入したとみられています。ただし、具体的な攻撃手法の詳細はまだ明らかになっていません。
ETSとカリフォルニア州教育局は、影響を受けた人々への通知を進めています。対象者には24か月間、ID保護ソフトウェアが無料で提供されます。盗まれた情報が公開されたことを示す証拠は見つかっておらず、身代金の要求も確認されていないようです。
ETSは声明で「監視の強化、アクセス制御の厳格化、セキュリティ対策に対する外部機関によるさらなる審査など、追加の安全対策を講じました」と述べています（Reutersの報道による）。
