Súlyos adatbiztonsági incidens rázta meg a kaliforniai oktatási rendszert, miután illetéktelenek hozzáfértek és lemásolták jelenlegi és egykori diákok érzékeny, személyes adatait. A kaliforniai oktatási minisztérium közleménye szerint a támadás nem közvetlenül a kormányzati szerveket érte, hanem az állami oktatási rendszer egyik legnagyobb külső partnerét, a vizsgáztatásokért és nyelvi felmérésekért felelős nonprofit Educational Testing Service (ETS) nevű szervezetet.
Az incidens rávilágít a modern, digitalizált oktatási rendszerek egyik legsúlyosabb sebezhetőségére: a külső adatfeldolgozók és beszállítók ellenőrzésének kritikus jelentőségére.
A hivatalos kiberbiztonsági vizsgálat adatai szerint a jogsértések nem egyszeri akcióként valósultak meg. A támadók egy kompromittálódott, de érvényes belépési azonosító használatával jutottak be az ETS biztonságosnak hitt fájlátviteli rendszerébe. Ezt követően 2026. május 22. és szeptember 18. között – csaknem négy hónapon át – több alkalommal is tanulói adatokat másolhattak le, mielőtt a szolgáltató észlelte volna az illetéktelen tevékenységet.
A szolgáltató végül szeptember 25-én észlelte a gyanús hálózati tevékenységet. Az ETS ekkor haladéktalanul letiltotta az illetéktelen hozzáférést, teljesen leállította az érintett informatikai rendszert, és külső kiberbiztonsági szakértőket, valamint a bűnüldöző hatóságokat is bevonta a vizsgálatba. Bár a rendszert azóta egy új, megerősített biztonsági megoldásra cserélték, a visszaélés tényén ez már nem változtat.
Évfolyamok és fogyatékossági adatok a bűnözők kezében
A megszerzett fájlok tartalma komoly aggodalomra ad okot, mivel azok mély betekintést nyújtanak a kiskorúak személyes és iskolai életébe. A lemásolt adatok között szerepelhetnek a diákok:
- Nevei, születési dátumai és lakcímei,
- Iskolái, évfolyamai és egyedi állami oktatási azonosítói,
- Demográfiai mutatói és tanulmányi előmeneteli, felmérési eredményei,
- Különböző speciális oktatási programokban való részvételi adatai, valamint a fogyatékossággal kapcsolatos érzékeny információik.
A minisztérium igyekezett megnyugtatni a szülőket, hogy az incidens nem érintett társadalombiztosítási számokat (SSN), banki adatokat, jelszavakat, illetve a gondviselők személyes adatait. A gyermekek olyan adatai kerültek azonban illetéktelen kezekbe, amelyek hosszú éveken, akár évtizedeken át változatlanok maradnak. Ezekből a bűnözők részletes profilokat építhetnek fel, amelyeket később célzott adathalászatra vagy személyazonosság-lopásra használhatnak fel, amikor az érintett diákok elérik a felnőttkort.
Mivel a kaliforniai állami oktatási rendszerben évente több millió gyermek tanul, és az incidens az elmúlt három teljes tanév nyilvántartásaira is kiterjed, az ügy a modern oktatástörténet egyik jelentős adatvédelmi krízisévé nőheti ki magát.
A pontos érintetti létszámot a hatóságok egyelőre nem hozták nyilvánosságra. A statisztikát nehezítheti, hogy a több tanévet felölelő adatbázisok miatt jelentős az átfedés, hiszen ugyanaz a diák több egymást követő évben is szerepel a rendszerben. Bár a hatóságok hangsúlyozták, hogy egyelőre nincs bizonyíték az ellopott fájlok nyilvános értékesítésére vagy internetes közzétételére, a kockázatokat ez nem szünteti meg.
A kaliforniai oktatási minisztérium október 16-án megkezdte a családok közvetlen értesítését, a folyamat várhatóan november elejéig tart. Az incidens következményeinek enyhítésére az ETS minden igazoltan érintett jelenlegi és egykori diák számára két évig teljesen ingyenes személyazonosság-védelmi és monitorozó szolgáltatást biztosít az Experian IdentityWorks platformján keresztül. A hatóságok külön felhívást tettek közzé, amelyben arra kérik a szülőket, hogy fokozott óvatossággal kezeljék az iskolák nevében érkező megkereséseket, és ellenőrizzék a hivatalos értesítők hitelességét.
