Et datainnbrudd som rammet elever i California, har eksponert personopplysninger og utdanningsinformasjon som tilhører millioner av nåværende og tidligere elever ved offentlige skoler. Angripere brukte kompromitterte påloggingsopplysninger for å få tilgang til filer hos Educational Testing Service (ETS), en ekstern leverandør med ansvar for delstatens standardiserte elevvurderinger.
Californias utdanningsdepartement (CDE) kunngjorde hendelsen 16. oktober. Ifølge departementet omfatter de berørte opplysningene alle elever som har vært registrert ved offentlige skoler i California de siste tre årene.
Enkelte eldre opplysninger gjelder også tidligere elever helt tilbake til 2006. Myndighetene har imidlertid ikke oppgitt et endelig antall berørte personer.
Kompromitterte påloggingsopplysninger ga tilgang til filer i flere måneder
Etterforskere fastslo at en uautorisert aktør hadde tilgang til ETS sitt filoverføringsnettsted mellom 22. mai og 18. september 2026. I denne perioden kopierte angriperen ved flere anledninger filer som inneholdt informasjon om elever i California.
ETS oppdaget den uautoriserte aktiviteten 25. september, én uke etter den siste identifiserte tilgangen.
Det berørte systemet brukte Secure File Transfer Protocol, eller SFTP, til å utveksle informasjon om delstatlige elevvurderinger mellom ETS og CDE. Selv om SFTP beskytter data under overføring, gjorde de kompromitterte påloggingsopplysningene det mulig for angriperen å få tilgang til systemet.
Etter oppdagelsen tok ETS nettstedet offline. Organisasjonen utviklet også en erstatningsløsning med sterkere sikkerhetskontroller.
Eksponerte opplysninger omfatter funksjonsnedsettelser og vurderingsresultater
Datainnbruddet som rammet elever i California, omfatter et bredt spekter av sensitive opplysninger. Ifølge CDE inkluderer den eksponerte informasjonen:
- Navn, fødselsdatoer og hjemmeadresser.
- Klassetrinn, skoler, skoledistrikter og elevidentifikasjonsnumre.
- Kjønn, rase eller etnisitet og opprinnelsesland.
- Resultater fra delstatlige elevvurderinger og primærspråk.
- Status som elev med engelsk som andrespråk og informasjon om språkferdigheter.
- Status for funksjonsnedsettelse, hovedtype av funksjonsnedsettelse og særskilt tilrettelegging under prøver.
- Status i henhold til Section 504 og kvalifisering til enkelte føderale støtteprogrammer.
Disse opplysningene kombinerer identifiserende informasjon med detaljer om elevenes utdanningsbehov og bakgrunn.
ETS opplyste imidlertid at angriperne ikke fikk tilgang til amerikanske personnumre (Social Security-numre), førerkortnumre eller passnumre. Selskapet opplyste også at opplysninger om finansielle kontoer, betalingskort, passord og foreldre eller foresatte ikke var inkludert i de berørte dataene.
Per 16. oktober opplyste ETS at organisasjonen ikke hadde funnet bevis for at noen hadde offentliggjort den stjålne informasjonen.
Varslingene fortsetter frem til begynnelsen av november
ETS begynte å varsle berørte elever og familier 16. oktober. Organisasjonen forventer at prosessen vil fortsette frem til begynnelsen av november.
CDE tilbyr kvalifiserte nåværende og tidligere elever to år med gratis identitetsbeskyttelsestjenester gjennom Experian IdentityWorks.
Til sammenligning hadde offentlige skoler i California mer enn 5,7 millioner registrerte elever i skoleåret 2025–2026, fordelt på over 1 000 skoledistrikter. Dette elevtallet representerer likevel ikke det endelige antallet berørte, ettersom de eksponerte opplysningene strekker seg over flere år.
Sikkerhetstiltak forstyrrer behandlingen av elevvurderinger
ETS administrerer California Assessment of Student Performance and Progress og English Language Proficiency Assessments for California.
Den 2. oktober informerte organisasjonen tjenestepersoner på fylkes- og distriktsnivå om at den hadde stanset den ordinære behandlingen av elevregistreringsdata. Avbruddet påvirket tjenester som støtter delstatens programmer for elevvurderinger.
Samtidig opplyste ETS at organisasjonen hadde innført ytterligere overvåking, sterkere tilgangskontroller og flere eksterne gjennomganger av sine sikkerhetsrutiner.
Organisasjonen arbeider med å gjenopprette tjenestene og begrense forstyrrelsene i vurderingsaktivitetene. Tiltakene omfatter også å erstatte det kompromitterte filoverføringsmiljøet med det nye, sikrere systemet.
0 responses to “Datainnbrudd i California eksponerer millioner av elevopplysninger”