Хакеры похитили данные миллионов школьников Калифорнии

Подробно

Что произошло с данными учеников в ETS?

Educational Testing Service - некоммерческая организация. По контракту со штатом Калифорния она проводит обязательные федеральные и штатные тесты учащихся государственных школ, в том числе по программам CAASPP и ELPAC. Для обмена данными о тестировании с CDE компания использовала собственный сайт Secure File Transfer Protocol (SFTP). Именно на нём произошёл инцидент.

По официальному уведомлению CDE, неустановленная сторона с помощью скомпрометированных учётных данных в разные моменты с 22 мая по 18 сентября 2026 года заходила на SFTP-сайт и копировала файлы с данными калифорнийских учеников. В уведомлении не говорится, что доступ был непрерывным всё это время.

ETS обнаружила несанкционированную активность 25 сентября. Компания отключила учётную запись, вывела SFTP-сайт из эксплуатации и начала расследование с участием внешних специалистов по кибербезопасности.

2 октября заместитель суперинтенданта образования штата Мэри Найсли (Mary Nicely) разослала руководителям школьных округов и администраторам чартерных школ предварительное письмо. Тогда CDE ещё устанавливал масштаб утечки и перечень затронутых сведений. Из письма следовало, что ETS остановила обычную обработку данных о зачислении и приостановила часть операций тестирования, пока проверялась безопасность систем.

«Защита калифорнийских учеников и их информации - наш главный приоритет», - говорилось в письме Мэри Найсли.

Подробное публичное сообщение CDE выпустил в Сакраменто 16 октября. В тот же день началась рассылка индивидуальных уведомлений. Текст уведомления опубликован на сайте ведомства на 27 языках.

Какие данные школьников Калифорнии украли?

По данным CDE, в файлах были демографические сведения, информация об участии в образовательных программах и данные тестирования, которые ETS хранит для программ штата. Набор полей зависит от конкретного ученика. В него могли входить:

• имя, дата рождения, домашний адрес, школа, школьный округ и класс;
• идентификатор ученика штата California Statewide Student Identifier (SSID) и локальный идентификатор ученика;
• пол, раса или этническая принадлежность, основной язык, страна происхождения и статус изучающего английский язык;
• наличие инвалидности, статус по Section 504, специальные условия при тестировании и основной тип инвалидности;
• участие в программах Title I Part A, Title I Part C, McKinney-Vento и Military Connected Student;
• уровень владения английским языком, регистрация и участие в тестах штата, результаты тестирования.

Наиболее чувствительны сведения об инвалидности. Отдельного внимания заслуживает и участие в программах: эти признаки могут указывать, в частности, на низкий доход семьи, участие в образовательной программе для детей мигрантов, бездомность или связь семьи с вооружёнными силами.

По данным CDE, в украденных файлах не было номеров Social Security, водительских удостоверений и паспортов, данных банковских счетов, кредитных и дебетовых карт, а также паролей. Персональные данные родителей и опекунов, согласно уведомлению, не затронуты.

Кого затронула утечка данных ETS?

CDE официально подтвердил, что скопированы сведения как минимум обо всех учениках, которые учились в государственных школах Калифорнии в течение трёх предыдущих учебных лет. В уведомлении использована формулировка «включая, но не ограничиваясь», то есть круг данных этим периодом не исчерпывается.

По разъяснению CDE, затронуты нынешние и бывшие ученики государственных школ штата, учившиеся там с 2023 года по текущий учебный год. Пострадали также ученики, которые покинули калифорнийскую школу начиная с 2006 года, но чей перевод в другую школу не был подтверждён в CDE.

Точное число пострадавших официально не опубликовано. Los Angeles Times пишет о «миллионах» нынешних и бывших учеников. По оценке издания, их больше, чем сейчас учится в государственных школах штата, а это около 5,7 млн человек.

Если семья получила письмо или электронное уведомление, значит, сведения этого ученика были в скопированных файлах. При этом отсутствие уведомления не доказывает, что данные не пострадали: CDE предупреждает, что у бывших учеников могли измениться контактные данные.

Представитель ETS Кристин Бетанели (Christine Betaneli) сообщила Los Angeles Times, что другие клиенты организации инцидентом не затронуты. Школьный округ Ирвайна (Irvine Unified School District) отдельно подчеркнул, что взлом произошёл не в его собственных системах, а у подрядчика штата.

Что делать семьям и как подключить Experian IdentityWorks?

ETS предоставляет затронутым нынешним и бывшим ученикам 24 месяца бесплатного обслуживания Experian IdentityWorks. Для несовершеннолетних предназначен пакет Minor Plus, для тех, кому исполнилось 18 лет, - взрослый пакет. Записаться нужно не позднее 19 марта 2027 года, банковская карта при регистрации не требуется. Если несовершеннолетнему участнику исполнится 18 лет до 19 марта 2029 года, после совершеннолетия он сможет подключить взрослый продукт по выданному коду активации.

В пакет входит страховое покрытие до 1 млн долларов США на определённые расходы и несанкционированные электронные переводы, связанные с кражей личности. Это лимит страховки, а не оценка ущерба и не компенсация каждому пострадавшему. Кроме того, Experian в течение 24 месяцев с даты уведомления помогает подходящим пострадавшим восстановить личность, причём для этого не обязательно подключать мониторинг.

CDE рекомендует:

• взрослым пострадавшим - проверить свои кредитные отчёты;
• родителям и опекунам - рассмотреть бесплатную заморозку кредитных файлов детей младше 16 лет;
• всем - остерегаться писем, звонков и сообщений, в которых упоминаются школа, тесты или утечка: такие сведения могут использовать для фишинга.

Справочная линия по инциденту: 833-931-8488. Она работает с понедельника по пятницу с 06:00 до 18:00 по тихоокеанскому времени, кроме основных федеральных праздников США. Помощник суперинтенданта по информационным технологиям округа Ирвайна Брайанна Форд (Brianne Ford) советует семьям пользоваться официальными ресурсами CDE и предупреждает о вероятных фишинговых рассылках на тему утечки.

Кто расследует взлом и что известно о злоумышленниках?

С цифровой криминалистикой и реагированием помогает Центр интеграции кибербезопасности Калифорнии (California Cybersecurity Integration Center, Cal-CSIC). Департамент технологий штата и Управление губернатора Калифорнии по чрезвычайным ситуациям оказывают техническую, юридическую и операционную поддержку. CDE и Совет штата по образованию (State Board of Education) проверяют сам инцидент и то, соблюдала ли ETS договорные требования и требования по защите данных.

Правоохранительные органы уведомлены, но не названы. По словам CDE, их расследования не задержали рассылку уведомлений. Злоумышленник, его мотив и страна происхождения публично не установлены. Не раскрыто, как были скомпрометированы учётные данные и кому принадлежала учётная запись. Официальные материалы не сообщают, требовали ли злоумышленники выкуп. На 17 октября 2026 года не сообщалось об арестах, подозреваемых или предъявленных обвинениях.

ETS заявляет, что при регулярном мониторинге интернета пока не нашла публикаций украденной информации. Это заявление не исключает частной продажи данных, вымогательства или иного непубличного использования.

ETS построила новый SFTP-сайт с усиленной защитой. Компания также сообщила об усилении мониторинга и контроля доступа и о дополнительной внешней проверке своих методов безопасности.

«ETS относится к безопасности информации учеников с максимальной серьёзностью и искренне сожалеет о произошедшем инциденте», - говорится в заявлении организации.

Кристин Бетанели также заявила, что в ETS действует комплексная программа информационной безопасности, которую регулярно проверяют третьи стороны.

Что эксперт говорит о защите данных у подрядчика?

Исполнительный директор Института информационной безопасности Университета Джонса Хопкинса Антон Дахбура (Anton Dahbura) в комментарии Los Angeles Times назвал особенно тревожным то, что одна скомпрометированная учётная запись могла несколько месяцев открывать доступ к миллионам записей.

«Украденные учётные данные не должны превращаться в многомесячный пропуск к личным записям миллионов учеников», - сказал он.

По оценке эксперта, нужно выяснить, почему аутентификация, разграничение доступа и мониторинг не остановили злоумышленника. Ещё один системный риск он видит в том, что данные миллионов детей сосредоточены у одного подрядчика. Была ли у учётной записи многофакторная аутентификация и какие права она имела, официально не сообщалось.

Какие похожие утечки уже затрагивали школы и их подрядчиков?

В сентябре 2022 года Объединённый школьный округ Лос-Анджелеса (LAUSD) подвергся кибератаке с вымогательством. Округ отключил компьютерные системы и отказался платить выкуп, после чего злоумышленники опубликовали данные. Позднее округ сообщил примерно о 2 тыс. опубликованных оценочных документов учеников, в том числе 60 действующих. Этот случай показал, что первоначальный масштаб школьной утечки бывает недооценён.

В системах другого образовательного подрядчика, Illuminate Education, с 28 декабря 2021 года по 8 января 2022 года был несанкционированный доступ к базам с информацией учеников, включая медицинские сведения и данные о специальном образовании. 14 мая 2026 года Верховный суд Калифорнии решил, что при изложенных истцом обстоятельствах Illuminate не подпадает под заявленные определения поставщика медицинских услуг, а ученик не является её «клиентом» по Customer Records Act. Дело вернули в нижестоящий суд. Это решение показывает, что у частных исков учеников к школьным IT-подрядчикам могут быть ограничения.

Весной 2026 года две атаки пережила образовательная платформа Canvas компании Instructure. 11 мая компания заявила, что заключила соглашение с атакующим, получила данные обратно и цифровое подтверждение их удаления. При этом гарантировать уничтожение всех копий компания не могла. Была ли выплата и какого размера, Instructure не раскрыла.