Die Verwendung kompromittierter Anmeldeinformationen hat zur Entwendung persönlicher Daten von aktuellen und ehemaligen Schülern an öffentlichen Schulen im Bundesstaat Kalifornien geführt, und zwar über das Dateitransfer-System der Educational Testing Service (ETS), wie das kalifornische Bildungsministerium (CDE) mitteilte.
Die ETS ist eine gemeinnützige Organisation, die im Rahmen offizieller Verträge staatlich und bundesstaatlich vorgeschriebene Tests durchführt. Sie unterstützt die Bewertungsprogramme des Bundesstaates (CAASPP und ELPAC) und nutzte eine sichere FTP-Website (SFTP), um Testdaten mit dem Bildungsministerium auszutauschen. Die Organisation registrierte am 25. September ungewöhnliche Aktivitäten auf der Website, während Untersuchungen ergaben, dass die ersten Zugriffe auf den späten Mai zurückgehen.
Aus der vom Bildungsministerium herausgegebenen Benachrichtigung über den Vorfall geht hervor, dass eine unbefugte Partei zu verschiedenen Zeitpunkten zwischen dem 22. Mai 2026 und dem 18. September 2026 kompromittierte Zugangsdaten verwendet hat, um auf den SFTP-Server zuzugreifen und Dateien mit Schülerdaten zu kopieren. Zwar wurde keine genaue Opferzahl genannt, doch bestätigt die Mitteilung, dass auf die Informationen von Schülern, die in den letzten drei Schuljahren eingeschrieben waren, vollständig zugegriffen und diese kopiert wurden. Darüber hinaus erstreckt sich die Auswirkung auf Schüler, die kalifornische Schulen seit 2006 verlassen haben, ohne dass ihr offizieller Wechsel bestätigt wurde.
Was beinhalten die abhandengekommenen Daten?
Die eingesehenen Datensätze umfassten verschiedene Details wie Schülernamen, Geburtsdaten, Wohnadressen, Schulen, Schulbezirke und Klassenstufen, lokale und bundesstaatliche Identifikationsnummern, Geschlecht, Rasse oder ethnische Zugehörigkeit, Hauptsprache, Herkunftsland und den Status als Englischlernender. Einige Einträge enthielten zudem Informationen über Behinderungen und Klassifizierungen nach Abschnitt 504 (Section 504), Testarrangements, Sprachkenntnisdaten, Ergebnisse und Registrierungsüberschreitungen bei Prüfungen sowie Indikatoren für die Berechtigung zu verschiedenen Unterstützungsprogrammen.
Die offiziellen Stellen erklärten, dass die kompromittierten Dateien keine Sozialversicherungsnummern, Passwörter oder Finanz- und Zahlungskartendetails enthielten. Auch Daten von Eltern und Erziehungsberechtigten waren von dem Verstoß nicht betroffen.
Reaktion und technische Maßnahmen
Nach der Entdeckung schloss die ETS das für den Einbruch genutzte Konto und schaltete die SFTP-Website vollständig ab, während sie mit dem Aufbau einer Ersatz-Website mit strengeren Sicherheitskontrollen begann. Die Organisation arbeitete mit Cybersicherheitsexperten und Strafverfolgungsbehörden zusammen, um das Risiko einer Veröffentlichung der Daten im Internet zu mindern, und betonte, dass die Netzwerküberwachung bisher keine Beweise für eine öffentliche Datenleurgierung erbracht habe.
Was die Benachrichtigungen betrifft, informierte das Bildungsministerium Schulleiter und Schulbezirke am 2. Oktober, während der Versand individueller Benachrichtigungen an die betroffenen Schüler am 16 desselben Monats begann und voraussichtlich bis Anfang November andauern wird. Dies geschieht zeitgleich mit einer vorübergehenden Aussetzung der Verarbeitung von Registrierungsdaten und bestimmten Testarbeiten, bis die Sicherheit der Systeme bewertet ist.