カリフォルニア州教育局（CDE）の発表によると、侵害されたログイン認証情報が使用されたことで、カリフォルニア州の公立学校の現役および元学生の個人情報が、教育サービス機関（ETS）のファイル転送システムを通じて盗まれる事態となりました。
ETSは、公式契約に基づき州および連邦政府が義務付ける試験を実施する非営利団体であり、州の評価プログラム（CAASPPおよびELPAC）を支援しています。同団体は、試験データを教育局と共有するために安全なファイル転送プロトコル（SFTP）サイトを利用していました。同団体は9月25日にサイト上で異常なアクティビティを検知しましたが、調査により最初のアクセスは5月下旬に遡ることが判明しました。
教育局が発行した侵害通知によると、権限のない第三者が侵害されたログイン情報を使用して、2026年5月22日から2026年9月18日の間に断続的にSFTPサーバーにアクセスし、学生データを含むファイルをコピーしました。被害者の正確な数は明らかにされていませんが、通知では、過去3学年度に在籍した学生の情報が完全にアクセスおよびコピーされたことが確認されています。また、2006年以降に正式な転出確認なしにカリフォルニア州の学校を離れた学生にも影響が及んでいます。
流出したデータの内容
アクセスされた記録には、学生の氏名、生年月日、住所、学校名、学区および学年、州および地域の識別番号、性別、人種または民族、主要言語、出身国、英語学習者のステータスなど、多岐にわたる詳細が含まれていました。また、一部の項目には、障害の状況やセクション504の分類、試験の配慮事項、言語能力データ、試験の登録結果や免除、およびさまざまな支援プログラムへの資格指標に関する情報も含まれていました。
当局は、流出したファイルには社会保障番号、パスワード、財務詳細、支払いカード情報は含まれておらず、保護者や後見人のデータも侵害されていないと説明しました。
対応と技術的措置
発見後、ETSは侵害に使用されたアカウントを無効化し、SFTPサイトを完全に停止しました。また、より厳格なセキュリティ管理を備えた代替サイトの構築を開始しました。同団体はサイバーセキュリティの専門家や法執行機関と協力して、データがインターネット上に公開されるリスクを軽減しており、ネットワーク監視において現時点ではデータが公に流出した証拠は確認されていないと強調しています。
通知に関しては、教育局が10月2日に学校長および学区へ報告を行い、10月16日からは影響を受けた学生への個別通知を開始しました。この通知は11月上旬まで続く見込みであり、システムの安全性が評価されるまで、登録データの処理や一部の試験業務は一時的に停止されています。