캘리포니아 교육부(CDE)의 발표에 따르면, 도난당한 로그인 자격 증명이 사용되어 캘리포니아 공립학교의 현재 및 이전 학생들의 개인 정보가 교육 서비스 기관(ETS)의 파일 전송 시스템을 통해 유출되었습니다.
ETS는 공식 계약에 따라 주 및 연방 정부가 요구하는 시험을 실시하는 비영리 단체로, 주 평가 프로그램(CAASPP 및 ELPAC)을 지원하며 교육부와 시험 데이터를 공유하기 위해 보안 파일 전송 프로토콜(SFTP) 사이트를 사용해 왔습니다. 해당 기관은 9월 25일에 사이트에서 비정상적인 활동을 감지했으며, 조사 결과 최초 접근은 5월 말에 이루어진 것으로 나타났습니다.
교육부에서 발행한 침해 통지에 따르면, 권한이 없는 제3자가 2026년 5월 22일부터 2026년 9월 18일 사이의 여러 시점에 도난당한 로그인 자격 증명을 사용하여 SFTP 서버에 접근하고 학생 데이터가 포함된 파일을 복사했습니다. 정확한 피해자 수는 제공되지 않았으나, 통지문은 지난 3학년도 동안 등록된 학생들의 정보가 완전히 접근 및 복사되었음을 확인했습니다. 또한, 2006년 이후 캘리포니아 학교를 떠났으나 공식적인 전학 확인이 되지 않은 학생들에게도 영향이 미쳤습니다.
유출된 데이터에는 무엇이 포함되어 있습니까?
접근된 기록에는 학생 이름, 생년월일, 거주지 주소, 학교, 학군 및 학년, 지역 및 주 식별 번호, 성별, 인종 또는 민족, 기본 언어, 출신 국가, 영어 학습자 상태 등 다양한 세부 정보가 포함되었습니다. 일부 항목에는 장애 상태 및 섹션 504 분류, 시험 편의 제공, 언어 능력 데이터, 시험 등록 결과 및 면제 사항, 다양한 지원 프로그램에 대한 자격 지표에 관한 정보도 포함되었습니다.
관계 당국은 유출된 파일에 사회보장번호, 비밀번호, 금융 세부 정보 및 결제 카드는 포함되어 있지 않으며, 학부모나 보호자의 데이터도 침해되지 않았다고 밝혔습니다.
대응 및 기술적 조치
발견 직후, ETS는 침해에 사용된 계정을 폐쇄하고 SFTP 사이트를 완전히 중단했으며, 더 엄격한 보안 제어가 적용된 대체 사이트를 구축하기 시작했습니다. 해당 기관은 사이버 보안 전문가 및 법 집행 기관과 협력하여 데이터가 인터넷에 유포될 위험을 제한하고 있으며, 현재까지 네트워크 모니터링 결과 데이터가 공개적으로 유출되었다는 증거는 발견되지 않았다고 확인했습니다.
통지 절차와 관련하여, 교육부는 10월 2일에 학교장 및 교육구에 알렸으며, 10월 16일부터 피해 학생들에게 개별 통지를 보내기 시작했습니다. 이 절차는 11월 초까지 계속될 예정이며, 시스템 보안이 평가될 때까지 등록 데이터 처리 및 일부 시험 업무는 일시적으로 중단됩니다.