Dataintrång i Kalifornien exponerar miljontals elevuppgifter

Ett dataintrång som drabbat elever i Kalifornien har exponerat personuppgifter och utbildningsinformation som tillhör miljontals nuvarande och tidigare elever i offentliga skolor. Angripare använde komprometterade inloggningsuppgifter för att få åtkomst till filer hos Educational Testing Service (ETS), en extern leverantör som ansvarar för delstatens standardiserade kunskapsbedömningar.

Kaliforniens utbildningsdepartement (CDE) offentliggjorde incidenten den 16 oktober. Enligt myndigheten omfattar de berörda uppgifterna samtliga elever som varit inskrivna i Kaliforniens offentliga skolor under de senaste tre åren.

Vissa äldre uppgifter gäller även tidigare elever så långt tillbaka som 2006. Myndigheterna har dock ännu inte presenterat något slutligt antal drabbade personer.

Komprometterade inloggningsuppgifter möjliggjorde åtkomst till filer under flera månader

Utredare fastställde att en obehörig aktör hade åtkomst till ETS filöverföringswebbplats mellan den 22 maj och den 18 september 2026. Under denna period kopierade angriparen vid flera tillfällen filer som innehöll information om elever i Kalifornien.

ETS upptäckte den obehöriga aktiviteten den 25 september, en vecka efter den senast identifierade åtkomsten.

Det drabbade systemet använde Secure File Transfer Protocol, eller SFTP, för att utbyta information om delstatliga kunskapsbedömningar mellan ETS och CDE. Även om SFTP skyddar data under överföringen gjorde de komprometterade inloggningsuppgifterna det möjligt för angriparen att ta sig in i systemet.

Efter upptäckten tog ETS webbplatsen offline. Organisationen byggde också en ersättningslösning med starkare säkerhetskontroller.

Exponerade uppgifter omfattar funktionsnedsättningar och provresultat

Dataintrånget som drabbat elever i Kalifornien omfattar ett brett spektrum av känsliga uppgifter. Enligt CDE inkluderar den exponerade informationen:

• Namn, födelsedatum och hemadresser.
• Årskurser, skolor, skoldistrikt och elevidentifikationsnummer.
• Kön, ras eller etnicitet samt ursprungsland.
• Resultat från delstatliga kunskapsbedömningar och primärt språk.
• Status som elev med engelska som andraspråk och information om språkkunskaper.
• Status för funktionsnedsättning, huvudsaklig typ av funktionsnedsättning och särskilda anpassningar vid prov.
• Status enligt Section 504 och behörighet till vissa federala stödprogram.

Dessa uppgifter kombinerar identifierande information med detaljer om elevernas utbildningsbehov och bakgrund.

ETS uppgav dock att angriparna inte fick åtkomst till amerikanska personnummer (Social Security-nummer), körkortsnummer eller passnummer. Företaget uppgav också att uppgifter om finansiella konton, betalkort, lösenord och föräldrar eller vårdnadshavare inte ingick i de berörda uppgifterna.

Den 16 oktober uppgav ETS att organisationen inte hade hittat några bevis för att någon hade offentliggjort den stulna informationen.

Aviseringar fortsätter fram till början av november

ETS började informera drabbade elever och familjer den 16 oktober. Organisationen räknar med att processen fortsätter fram till början av november.

CDE erbjuder berättigade nuvarande och tidigare elever två års kostnadsfria identitetsskyddstjänster genom Experian IdentityWorks.

Som jämförelse hade Kaliforniens offentliga skolor fler än 5,7 miljoner inskrivna elever under läsåret 2025–2026, fördelade på över 1 000 skoldistrikt. Den siffran motsvarar dock inte det slutliga antalet drabbade eftersom de exponerade uppgifterna sträcker sig över flera år.

Säkerhetsåtgärder stör hanteringen av kunskapsbedömningar

ETS administrerar California Assessment of Student Performance and Progress samt English Language Proficiency Assessments for California.

Den 2 oktober informerade organisationen tjänstemän på läns- och distriktsnivå om att den hade stoppat den ordinarie behandlingen av elevregistreringsuppgifter. Avbrottet påverkade tjänster som stöder delstatens program för kunskapsbedömningar.

Samtidigt uppgav ETS att organisationen hade infört ytterligare övervakning, starkare åtkomstkontroller och fler externa granskningar av sina säkerhetsrutiner.

Organisationen arbetar med att återställa tjänsterna och begränsa störningarna i bedömningsverksamheten. Åtgärderna omfattar också att ersätta den komprometterade filöverföringsmiljön med det nya, säkrare systemet.