Kaliforniya Eğitim Bakanlığı (CDE) tarafından yapılan açıklamaya göre, ele geçirilmiş giriş kimlik bilgilerinin kullanılması, Kaliforniya devlet okullarındaki mevcut ve eski öğrencilere ait kişisel bilgilerin Eğitim Hizmetleri Kurumu'na (ETS) ait dosya transfer sistemi üzerinden çalınmasına yol açtı.
ETS, eyalet ve federal hükümet tarafından zorunlu tutulan testleri resmi sözleşmeler kapsamında yürüten kâr amacı gütmeyen bir kuruluştur. Eyaletin değerlendirme programlarını (CAASPP ve ELPAC) destekleyen kurum, test verilerini Eğitim Bakanlığı ile paylaşmak için Güvenli Dosya Transfer Protokolü (SFTP) sitesini kullanıyordu. Kurum, 25 Eylül'de sitede olağan dışı bir etkinlik tespit etti; soruşturmalar ise ilk erişimlerin Mayıs ayı sonuna kadar uzandığını gösterdi.
Eğitim Bakanlığı tarafından yayınlanan ihlal bildiriminde, yetkisiz bir tarafın 22 Mayıs 2026 ile 18 Eylül 2026 tarihleri arasında çeşitli zamanlarda ele geçirilmiş giriş bilgilerini kullanarak SFTP sunucusuna eriştiği ve öğrenci verilerini içeren dosyaları kopyaladığı belirtildi. Mağdur sayısına ilişkin kesin bir rakam verilmemesine rağmen bildirim, son üç eğitim yılında kayıtlı olan öğrencilerin bilgilerine tamamen erişildiğini ve kopyalandığını, ayrıca etkinin 2006 yılından bu yana Kaliforniya okullarından ayrılan ancak resmi olarak nakil olduğu doğrulanmayan öğrencileri de kapsadığını teyit ediyor.
Sızdırılan veriler neleri içeriyor?
Erişilen kayıtlar; öğrenci isimleri, doğum tarihleri, ev adresleri, okullar, bölgeler ve sınıf düzeyleri, yerel ve eyalet kimlik numaraları, cinsiyet, ırk veya etnik köken, ana dil, menşe ülke ve İngilizce öğrenen statüsü gibi çeşitli detayları içermektedir. Bazı girişler ayrıca engellilik durumları ve Bölüm 504 sınıflandırmaları, test düzenlemeleri, dil yeterlilik verileri, test kayıt sonuçları ve muafiyetleri ile çeşitli destek programlarına uygunluk göstergeleri hakkında bilgiler içermektedir.
Resmi makamlar, sızdırılan dosyaların Sosyal Güvenlik numaralarını, şifreleri, finansal detayları veya ödeme kartı bilgilerini içermediğini, ayrıca ihlalin ebeveynlerin veya vasilerin verilerini hedef almadığını açıkladı.
Müdahale ve teknik önlemler
Keşfin ardından ETS, ihlalde kullanılan hesabı kapattı ve SFTP sitesini tamamen devre dışı bırakarak daha sıkı güvenlik kontrolleriyle donatılmış alternatif bir site oluşturmaya başladı. Kurum, verilerin internette yayınlanması riskini sınırlamak için siber güvenlik uzmanları ve kolluk kuvvetleriyle birlikte çalıştı ve ağ izleme işlemlerinin şu ana kadar verilerin kamuya sızdırıldığına dair herhangi bir kanıt göstermediğini doğruladı.
Bildirimler tarafında ise Eğitim Bakanlığı, okul müdürlerini ve eğitim bölgelerini 2 Ekim'de bilgilendirdi. Etkilenen öğrencilere yönelik bireysel bildirim süreci ise aynı ayın 16'sında başladı ve sistem güvenliği değerlendirilene kadar kayıt verilerinin işlenmesi ve bazı test çalışmalarının geçici olarak askıya alınmasıyla birlikte Kasım ayı başlarına kadar devam etmesi bekleniyor.