Databrud i Californien eksponerer millioner af elevoplysninger

Et databrud, der har ramt elever i Californien, har eksponeret personoplysninger og uddannelsesoplysninger tilhørende millioner af nuværende og tidligere elever på offentlige skoler. Angribere brugte kompromitterede loginoplysninger til at få adgang til filer hos Educational Testing Service (ETS), en ekstern leverandør med ansvar for delstatens standardiserede elevvurderinger.

Californiens undervisningsministerium (CDE) offentliggjorde hændelsen den 16. oktober. Ifølge myndigheden omfatter de berørte oplysninger alle elever, der har været indskrevet på offentlige skoler i Californien i løbet af de seneste tre år.

Visse ældre oplysninger vedrører også tidligere elever helt tilbage til 2006. Myndighederne har dog endnu ikke oplyst det endelige antal berørte personer.

Kompromitterede loginoplysninger gav adgang til filer i flere måneder

Efterforskere fastslog, at en uautoriseret aktør havde adgang til ETS’ filoverførselswebsted mellem den 22. maj og den 18. september 2026. I denne periode kopierede angriberen ved flere lejligheder filer med oplysninger om elever i Californien.

ETS opdagede den uautoriserede aktivitet den 25. september, en uge efter den senest identificerede adgang.

Det berørte system anvendte Secure File Transfer Protocol, eller SFTP, til at udveksle oplysninger om delstatens elevvurderinger mellem ETS og CDE. Selvom SFTP beskytter data under overførslen, gjorde de kompromitterede loginoplysninger det muligt for angriberen at få adgang til systemet.

Efter opdagelsen tog ETS webstedet offline. Organisationen udviklede også en erstatningsløsning med stærkere sikkerhedskontroller.

Eksponerede oplysninger omfatter handicap og vurderingsresultater

Databruddet, der har ramt elever i Californien, omfatter en bred vifte af følsomme oplysninger. Ifølge CDE omfatter de eksponerede data:

• Navne, fødselsdatoer og hjemmeadresser.
• Klassetrin, skoler, skoledistrikter og elevidentifikationsnumre.
• Køn, race eller etnicitet og oprindelsesland.
• Resultater fra delstatens elevvurderinger og primært sprog.
• Status som elev med engelsk som andetsprog og oplysninger om sprogfærdigheder.
• Handicapstatus, primær handicaptype og særlige tilpasninger ved prøver.
• Status i henhold til Section 504 og berettigelse til visse føderale støtteprogrammer.

Disse oplysninger kombinerer identificerende detaljer med information om elevernes uddannelsesmæssige behov og baggrund.

ETS oplyste dog, at angriberne ikke fik adgang til amerikanske personnumre (Social Security-numre), kørekortnumre eller pasnumre. Virksomheden oplyste også, at oplysninger om finansielle konti, betalingskort, adgangskoder og forældre eller værger ikke indgik i de berørte data.

Pr. 16. oktober oplyste ETS, at organisationen ikke havde fundet beviser for, at nogen havde offentliggjort de stjålne oplysninger.

Underretninger fortsætter frem til begyndelsen af november

ETS begyndte at underrette berørte elever og familier den 16. oktober. Organisationen forventer, at processen fortsætter frem til begyndelsen af november.

CDE tilbyder berettigede nuværende og tidligere elever to års gratis identitetsbeskyttelse gennem Experian IdentityWorks.

Til sammenligning havde Californiens offentlige skoler mere end 5,7 millioner indskrevne elever i skoleåret 2025–2026 fordelt på over 1.000 skoledistrikter. Dette elevtal repræsenterer dog ikke det endelige antal berørte, da de eksponerede oplysninger strækker sig over flere år.

Sikkerhedsforanstaltninger forstyrrer behandlingen af elevvurderinger

ETS administrerer California Assessment of Student Performance and Progress og English Language Proficiency Assessments for California.

Den 2. oktober informerede organisationen embedsmænd på amts- og distriktsniveau om, at den havde standset den normale behandling af elevregistreringsdata. Afbrydelsen påvirkede tjenester, der understøtter delstatens programmer for elevvurderinger.

Samtidig oplyste ETS, at organisationen havde indført yderligere overvågning, stærkere adgangskontrol og flere eksterne gennemgange af sine sikkerhedsprocedurer.

Organisationen arbejder på at genoprette tjenesterne og begrænse forstyrrelserne i vurderingsaktiviteterne. Indsatsen omfatter også at erstatte det kompromitterede filoverførselsmiljø med det nye, mere sikre system.