カリフォルニア州教育局（CDE）の委託先に対するサイバー攻撃により、過去3年間に州内の公立学校に在籍したすべての児童・生徒に関する大量の機微情報が流出しました。
CDEは過去1週間に複数の声明を発表し、評価業務の委託先であるEducational Testing Service（ETS）で数カ月に及ぶデータ侵害が発生したと州内の生徒に警告しました。
ハッカーにコピーされた生徒情報には、次のものが含まれます。
- 生徒の氏名、生年月日、居住地住所、学校、学区、学年
- 州生徒識別番号（SSID）および地域の生徒識別番号
- 性別、人種・民族、第一言語、出身国、英語学習者の区分
- 障害およびセクション504の対象区分、テスト上の配慮事項、主たる障害の種類
- Title I Part A、Title I Part C、マッキニー・ベント法、軍関係者の子どもを対象とするプログラムの該当状況
- 該当する場合は、英語能力に関する情報、州統一テストの登録・受験状況・結果
影響を受けるのは、2023年から現在の学年度までにカリフォルニア州の公立学校に在籍していた現・元生徒です。2006年以降に同州の学校を離れ、他校への転校をCDEに確認していない生徒も含まれます。
CDEは、K-12（幼稚園から高校まで）の公立学校でのテスト実施をETSに委託しています。2025年度の在籍者数は570万人を超えました。ETSは、毎年実施される「カリフォルニア州生徒学習到達度評価（CAASPP）」と「カリフォルニア州英語能力評価（ELPAC）」を運営しています。
ETSはコメントの求めに応じていません。ただ、発表文では、ハッカーが今年5月22日から9月18日にかけて、セキュアなファイル転送プロトコルのサイトを通じて生徒情報をコピーしたと説明しています。
ETSは9月25日に侵害を発見しました。まず情報の窃取に使われたアカウントを無効化し、最終的にはサイト全体をオフラインにしました。その後、攻撃を受けて新しいプラットフォームを一から構築しています。
CDEは「ETSは法執行機関やサイバーセキュリティの専門家と協力し、データが公に閲覧可能になるリスクを低減する措置を講じた」と説明しています。さらに「ETSは定期的なWeb監視を行っているが、現時点で情報が公開された形跡は確認されていない」としています。
CDEの広報担当者は、ETSがデータの公開リスクを下げるためにどのような措置を取ったのか、説明を拒みました。ETSの声明も、インシデントのリスク低減に向けて「法執行機関およびサイバーセキュリティの専門家」と協力したと述べるにとどまっています。
火曜日の時点で、この攻撃について犯行を名乗るハッカー集団は現れていません。
州は10月16日から家族への通知を開始しました。通知は11月まで順次送付する方針です。
CDEは、州のサイバーセキュリティ専門家や他の機関と連携し、今回のインシデントがカリフォルニア州の生徒にどのような影響を及ぼすかを評価しています。あわせて、「ETSによるデータセキュリティ要件および契約上の要件の順守状況を精査している」としています。
ETSによると、同社は「システムの安全性を評価し、調査を継続する間、通常の登録データ処理を停止し、一部のテスト業務を一時停止している」とのことです。CDEは、混乱を最小限に抑え、影響を受けたテストをできるだけ早く再開するよう取り組んでいると説明しました。
ETSのような教育サービス事業者は、サイバー犯罪者に繰り返し狙われています。PowerSchool、Instructure、Illuminate Education、McGraw Hill、Kaplanといった大手企業でも、複数のインシデントが起きています。
翻訳元: https://therecord.media/california-warns-all-public-school-students-of-data-breach
