米カリフォルニア州の学生情報が流出、ETSのファイル転送システムに不正アクセス
米カリフォルニア州の公立学校に通う学生の個人情報が、Educational Testing Service（ETS）のファイル転送システムへの不正アクセスによって流出した。カリフォルニア州教育省（CDE）によると、攻撃者は2026年5月22日から9月18日にかけて、不正に取得したログイン認証情報を使用し、ETSが運用するSFTP（SSH File Transfer Protocol）サイトにアクセスしていた。この期間中、学生に関する個人情報を含むファイルが不正にコピーされたという。
不正アクセスは5月下旬に始まり、9月25日に発覚した。攻撃者が取得した情報には、学生の氏名、生年月日、住所などが含まれていた。影響を受けた可能性があるのは、直近3学年度にカリフォルニア州の公立学校に在籍していた学生で、在校生と卒業生などを合わせて570万人を超えると推定されている。ただし、この人数は影響を受けた可能性がある学生の規模を示すものであり、全員について同じ種類の情報が流出したことを意味するものではない。
流出したデータには、社会保障番号や金融情報は含まれていなかったとされる。一方、学生の基本的な個人情報に加え、障害に関する情報や学業成績など、教育に関連する機微なデータが含まれていた可能性がある。こうした情報は、学生の属性や学校での状況を把握する手掛かりとなるため、第三者に取得された場合にはプライバシーへの影響が懸念される。
不正アクセスの発覚後、ETSは侵害されたアカウントを無効化し、問題のSFTPサイトを停止した。また、従来のシステムに代わる、セキュリティ対策を強化したファイル転送環境の構築にも着手している。ETSは法執行機関やサイバーセキュリティの専門家と協力し、侵害の範囲や取得されたデータの取り扱いについて調査を進めている。現時点では、取得された情報がインターネット上で公開されたことを示す証拠は確認されていないという。ただし、外部への公開が確認されていないことは、不正なデータ取得が発生しなかったことを意味するものではない。
影響を受けた学生には、2年間無料で利用できる個人情報保護サービスが提供される予定で、CDEも関係者への通知や追加の対応を進めている。今回の事件では、正規のファイル転送システムが不正に取得された認証情報によって悪用され、複数の学年度にわたる学生データが影響を受けた。教育関連システムにおけるアカウント管理やアクセス権限の設定に加え、通常とは異なるファイルへのアクセスや大量のデータ転送を把握するための監視体制が、今後の調査と対策における重要な確認事項となっている。