単一の漏洩ログインで570万人超、カリフォルニア州公立学校生徒の個人情報がETSのSFTPサーバーから流出
概要 カリフォルニア州教育局の委託先であるEducational Testing Service(ETS)が運用するSFTP(セキュアファイル転送プロトコル)サーバーが不正アクセスを受け、2025-2026学年度に在籍する570万人以上を含む公立学校の現旧生徒の個人情報が流出した。侵入者は盗まれた単一のログイン認証情報を使い、5月22日から9月18日までの約4か月間にわたって複数回にわたりサーバーにアクセスし、ファイルをコピーしていた。ETSが侵入に気づいたのは9月25日で、発見までに長期間を要した点が問題視されている。流出した情報には氏名、生年月日、住所、学校・学区情報、州・地域のID番号、性別、人種・民族、言語情報、英語学習者ステータスが含まれ、一部には障がいの有無や特別支援教育の受給状況、学習支援の内容、習熟度データも含まれていた。一方で社会保障番号、運転免許証番号、金融情報、パスワード、保護者情報は含まれていないという。 侵入の手口と発見までの経緯 今回の侵入経路は、ETSが運用するSFTPサイト――カリフォルニア州教育局とのテストデータ共有に使われていたシステム――に対する単一の漏洩ログイン認証情報の悪用だった。攻撃者はこの認証情報を使ってサイトにアクセスし、ファイルを複製していたとみられる。侵入は5月22日に始まったが、ETSが異常を検知したのは9月25日であり、実際に不正アクセスが行われていた期間と発見までの間に数か月のギャップが生じていたことになる。セキュリティ専門家のAnton Dahbura氏は「盗まれたログイン認証情報が、数百万人の生徒の個人情報への数か月にわたる通行証になってしまうべきではない」と述べ、認証の安全対策や監視システムがなぜ長期間にわたる異常なアクセスを検知できなかったのかを問題視している。ETSは発見後、侵害されたアカウントを停止し、該当のSFTPサイトをオフラインにした上で、より強固な安全対策を備えた新システムを構築したとしている。 影響範囲と対応 今回の漏洩の影響は、2025-2026学年度に在籍する570万人超の現役生徒だけでなく、2006年までさかのぼって州外に転校後に転入先での再登録が確認されなかった生徒など、過去の生徒にも及ぶ可能性がある。正確な被害者数は公表されていない。カリフォルニア州教育局は影響を受けた個人への通知を進めており、通知は10月16日に開始され11月まで継続する見込みだ。ETSは法執行機関やサイバーセキュリティの専門家と連携して調査を進めており、現時点では流出した情報がインターネット上で公開された証拠は見つかっていないとしている。対応策として、影響を受けた生徒とその家族には2年間の無料ID保護サービスが提供されるほか、16歳未満の未成年者についてはクレジットフリーズの利用が推奨されている。利用者には、公式チャネルを通じた連絡の確認や提供されるID保護サービスへの登録、学校関連の情報を悪用したフィッシングへの警戒も呼びかけられている。 教育分野におけるデータ委託のリスク 今回の事案は、教育機関が生徒の機密情報の管理を単一の外部ベンダーに委託することで、リスクが一点に集中してしまう構造を改めて示した。ETSのようなテスト運営会社は、学力評価や特別支援教育の判定に必要な詳細な個人情報を大量に保有しており、そこへの侵入は一般的な企業データ漏洩よりも機微な情報――障がいや言語支援の状況など――を広範囲に晒す結果につながりやすい。社会保障番号や金融情報は含まれていないとはいえ、生徒の属性情報は長期にわたって悪用され得るため、今回のような長期間未検知のまま続いた侵入は、教育分野におけるアクセス監視や認証強化の必要性を浮き彫りにしている。