اختراق بيانات ملايين الطلاب في كاليفورنيا عبر بيانات اعتماد مسروقة لنظام نقل الملفات

أدى استخدام بيانات اعتماد دخول مخترقة إلى التعرض لسرقة معلومات شخصية تخص طلاباً حاليين وسابقين في المدارس العامة بولاية كاليفورنيا، وذلك من خلال نظام نقل الملفات التابع لمؤسسة الخدمات التعليمية (ETS)، وفقاً لما أعلنته وزارة التعليم في كاليفورنيا (CDE).

تُعد مؤسسة ETS منظمة غير ربحية تتولى إجراء الاختبارات المفروضة من قبل الولاية والحكومة الفدرالية بموجب عقود رسمية، حيث تدعم برامج التقييم الخاصة بالولاية (CAASPP وELPAC) واعتمدت على موقع بروتوكول نقل الملفات الآمن (SFTP) لمشاركة بيانات الاختبارات مع وزارة التعليم. وقد رصدت المنظمة نشاطاً غير معتاد على الموقع في 25 سبتمبر، بينما أشارت التحقيقات إلى أن عمليات الوصول الأولى تعود إلى أواخر شهر مايو.

بيّن إشعار الاختراق الصادر عن وزارة التعليم أن طرفاً غير مصرح له استخدم بيانات دخول مخترقة في أوقات متفرقة بين 22 مايو 2026 و18 سبتمبر 2026 للوصول إلى خادم SFTP ونسخ ملفات تحتوي على بيانات الطلاب. ورغم عدم توفير رقم دقيق لعدد الضحايا، فإن الإشعار يؤكد أن المعلومات الخاصة بالطلاب المسجلين في السنوات الدراسية الثلاث الماضية قد تم الوصول إليها ونسخها بالكامل، بالإضافة إلى امتداد التأثير ليشمل طلاباً غادروا مدارس كاليفورنيا منذ عام 2006 دون تأكيد انتقالهم رسمياً.

ما الذي تتضمنه البيانات المسربة؟

شملت السجلات التي تم الوصول إليها تفاصيل متنوعة تشمل أسماء الطلاب، تواريخ الميلاد، العناوين السكنية، المدارس، المناطق والصفوف الدراسية، أرقام التعريف المحلية والولاية، الجنس، العرق أو الاثنية، اللغة الأساسية، بلد الأصل، وحالة متعلم اللغة الإنجليزية. كما تضمنت بعض الإدخالات معلومات حول حالات الإعاقة وتصنيفات القسم 504، وترتيبات الاختبارات، وبيانات الكفاءة اللغوية، ونتائج وتجاوزات التسجيل في الاختبارات، إضافة إلى مؤشرات التأهل لبرامج الدعم المختلفة.

وأوضحت الجهات الرسمية أن الملفات المسربة لم تكن تحتوي على أرقام الضمان الاجتماعي، أو كلمات المرور، أو التفاصيل المالية وبطاقات الدفع، كما لم تتربّص المخالفة ببيانات أولياء الأمور والأوصياء.

الاستجابة والتدابير التقنية

في أعقاب الاكتشاف، أقدمت مؤسسة ETS على إغلاق الحساب المستخدم في الاختراق وإيقاف تشغيل موقع SFTP بالكامل، مع البدء في بناء موقع بديل مزود بضوابط أمان أكثر صرامة. وعملت المؤسسة مع خبراء الأمن السيبراني وجهات إنفاذ القانون للحد من مخاطر نشر البيانات على الإنترنت، مؤكدة أن عمليات المراقبة الشبكية لم ترصد حتى الآن أي أدلة على تسريب البيانات علناً.

على صعيد الإخطارات، أبلغت وزارة التعليم مديري المدارس والمناطق التعليمية في الثاني من أكتوبر، بينما بدأت عملية إرسال الإشعارات الفردية للطلاب المتضررين في السادس عشر من الشهر نفسه، ومن المتوقع أن تستمر حتى أوائل نوفمبر، بالتزامن مع تعليق المؤقت لمعالجة بيانات التسجيل وبعض أعمال الاختبارات ريثما يتم تقييم أمان الأنظمة.