ETS情報漏えい、カリフォルニア州の数百万人の生徒記録が流出

攻撃者は、侵害したログイン情報を繰り返し使い、約4カ月にわたってカリフォルニア州の生徒記録をコピーしていました。テスト事業者のEducational Testing Service（ETS）が情報漏えいに気づいたのは、その後のことです。

インシデントの舞台となったのは、ETSが運用するファイル転送システムです。ETSは、カリフォルニア州教育局（CDE）と連携して州全体のテストプログラムを担当しています。

ロサンゼルス・タイムズ紙の報道によると、ETSがインシデントを把握したのは9月25日でした。不正なアクティビティは5月22日から9月18日まで続いていたとされています。これほど長期間、なぜ検知されなかったのでしょうか。既存のアクセス制御や監視体制が、機密記録のコピーを察知するのに十分だったのかが問われます。

1つの信頼された認証情報が数百万人の児童・生徒を危険にさらす

このアカウントには強い信頼が与えられていたため、侵害されたことで、カリフォルニア州の公立学校に通う数百万人の生徒の機密データが危険にさらされました。

カリフォルニア州教育局によると、攻撃者は侵害したログイン認証情報を使ってETSのファイル転送サイトにアクセスし、生徒記録をコピーしました。現在の生徒だけでなく、過去の生徒の情報も流出しています。

影響を受けた人数の正確な数字は公表されていません。参考までに、カリフォルニア州の公立学校の2025～2026年度の在籍者数は570万人を超えていますが、これは確認された漏えい件数ではありません。影響を受けたのは、2023年から現在の学年度までに在籍していた現在および過去の生徒です。

さらに、2006年以降にカリフォルニア州の学校を離れ、他校への転校がCDEに確認されていない生徒も対象に含まれます。

CDEによると、アクセス・コピーされた情報は個人によって異なります。生徒の氏名、生年月日、自宅住所、州の生徒識別番号、学校・学区の詳細、人口統計情報、障害の有無、特定の支援プログラムの受給資格、評価記録などが含まれる可能性があります。

一方で、社会保障番号、金融口座情報、パスワード、保護者の個人情報は流出していません。

侵害の発見が遅れるほどリスクは拡大

ETSの生徒記録への不正アクセスは2026年5月22日に始まりました。ところがETSが侵害に気づいたのは、最後に確認されたアクセスから1週間後の9月25日です。このインシデントは、 学校職員のアカウントが関わったInfinite Campusの情報漏えいに続くものです。発見の遅れが問題なのは、組織が未検知の侵害には対処できないからです。侵入に気づかない間は、盗まれたデータも不正アクセスの可能性も放置されることになります。

当局は、盗まれた生徒情報が公開された形跡はないとしています。しかし、データが悪用されていない、あるいは非公開で転売・共有されていないとは言い切れません。 

組織にとってのリスクは、盗まれた情報だけにとどまりません。攻撃者が発見されずに活動できる期間の長さ、そしてその間に機密データへアクセスし、コピーし、悪用できる時間の長さも問題になります。

攻撃者はステルス性を高めています。防御側も、長期間気づかれないままになる前に、こうした活動をより早く検知しなければなりません。ETSのインシデントは、不正アクセスの防止がセキュリティ対策の一部にすぎないことを改めて示しています。

ETSは、侵害されたアカウントを無効化し、影響を受けたファイル転送サイトをオフラインにしました。外部のサイバーセキュリティ専門家とともに調査も始めています。CDEによると、ETSはセキュリティ制御を強化した代替サイトも構築済みです。

認証情報がどのように侵害されたのか、攻撃者は誰なのかについては、公表された情報では明らかになっていません。

今後の対応は

影響を受けたカリフォルニア州の生徒は、24カ月間の無料のID保護サービスを利用できると当局は説明しています。 

各学校には通知済みです。生徒と家族は、公式の通知に記載された手順に従ってサービスを利用してください。学校や教育当局を名乗る不審なメッセージにも注意が必要です。インシデントから時間がたってから届くこともあります。

セキュリティ担当者にとって、このインシデントはアカウント権限、ファイル転送の監視、機密記録を扱うベンダーの管理体制について、実務的な問いを投げかけています。ETSでどの制御が機能しなかったのかは、公表された情報からは特定できません。それでも各組織は、この事例を自社のリスクを見直す機会として活用できます。

まず、機密ファイルを取得できる人間のアカウントとサービスアカウントを洗い出します。そのうえで、全データセットへのアクセスが本当に必要か、使われていない権限を削除できないかを確認してください。各アカウントには必要な記録とシステムへのアクセスのみを許可します。対応している場合は 多要素認証を導入し、盗まれた認証情報を悪用されにくくしましょう。

監視の対象は、サインインだけでなくファイルの操作にも広げる必要があります。通常とは異なるダウンロード量、繰り返される転送、アカウントの通常業務と矛盾するアクセスは調査対象です。不審なアカウントを無効化する明確な手順も整えておきます。

ベンダーとデータを共有する組織は、誰がアクセスログを確認し、アラートを調査し、インシデントを連絡するのかも決めておくべきです。実務上の目標は、侵害されたアカウントが取得できる情報と、不正な活動が続く時間の両方を減らすことです。

関連記事：侵害された認証情報は、業界を問わず機密情報の漏えいにつながり得ます。その一例が、 従業員の認証情報と顧客データが関わったASOSの情報漏えいです。