テスト事業者のEducational Testing Serviceが侵害を発見するまでの約4カ月間、攻撃者は侵害されたログインを繰り返し使い、カリフォルニア州の生徒記録をコピーしていた。
今回のインシデントでは、州全体の試験プログラムでカリフォルニア州教育局と協力するEducational Testing Service（ETS）が運用するファイル転送システムが影響を受けた。
Los Angeles Timesの報道によると、ETSがインシデントを特定したのは9月25日で、5月22日から9月18日まで不正な活動が続いていた。この期間の長さから、なぜ活動が検知されなかったのか、また既存のアクセス制御や監視で機密記録のコピーを検知できる状態にあったのかが問われる。
1つの信頼された認証情報で数百万人の児童・生徒の情報が流出
1つのアカウントに十分な信頼権限が与えられていたため、その侵害によってカリフォルニア州の公立学校に通う数百万人の生徒の機密データが流出した。
カリフォルニア州教育局（CDE）によると、攻撃者は侵害されたログイン認証情報を使ってETSのファイル転送サイトにアクセスし、生徒記録をコピーした。これにより、在籍中の生徒と元生徒の双方に関する情報が流出した。
影響を受けた人数の正確な数は公表されていない。参考までに、カリフォルニア州では2025～2026年度に570万人を超える公立学校の生徒が在籍しているが、この数字は侵害の確定人数ではない。影響を受けた集団には、2023年から現在の学年までに在籍した現役および元生徒が含まれる。
影響を受けた集団には、2006年以降にカリフォルニア州の学校を離れ、別の学校への転校がCDEによって確認されていない生徒も含まれる。
CDEによると、アクセスされコピーされた情報は個人によって異なるが、生徒の氏名、生年月日、自宅住所、州全体で使われる生徒識別番号、学校および学区の詳細、人口統計情報、障害の有無、特定の支援プログラムの受給資格、評価記録などが含まれていた可能性がある。
ただし、今回の侵害で社会保障番号、金融口座情報、パスワード、保護者や後見人の個人情報が流出したわけではない。
侵害の検知が遅れるほどリスクは高まる
ETSの生徒記録への不正アクセスは2026年5月22日に始まっていたが、同社が侵害を発見したのは9月25日で、最後に確認されたアクセスの1週間後だった。今回のインシデントは、学校職員のアカウントに関する別件の Infinite Campusの侵害に続くものだ。この空白期間は重要だ。組織は、まだ検知していない侵害には対応できず、侵入が発見されない間、盗まれたデータや潜在的な不正アクセスが放置されることになる。
当局は、盗まれた生徒情報が公開された証拠はないと報告しているが、それはデータが悪用されたり、非公開で第三者に渡されたりしていないことを意味しない。
組織にとってのリスクは、侵害で盗まれた情報だけにとどまらない。攻撃者が検知されずに活動できる期間の長さ、そしてその間に機密データへアクセスし、コピーし、場合によっては悪用する時間をどれだけ与えてしまうかも問題になる。
攻撃者がより巧妙に身を隠すようになる中、防御側は、長期間見過ごされる前にこうした活動をより迅速に検知する必要がある。ETSのインシデントは、不正アクセスの防止がセキュリティ対策の一部にすぎないことを改めて示している。
ETSは侵害されたアカウントを無効化し、影響を受けたファイル転送サイトを停止して、外部のサイバーセキュリティ専門家と調査を開始した。CDEによると、ETSはセキュリティ制御を強化した代替サイトも構築した。
公表された情報では、認証情報がどのように侵害されたのか、攻撃者を特定したのかは明らかになっていない。
今後の対応は？
影響を受けたカリフォルニア州の生徒について、当局は24カ月間の無料の個人情報保護サービスを利用できるとしている。
学校には通知が届いており、生徒と家族は公式の通知に記載された手順に従ってサービスにアクセスすべきだ。影響を受けた人は、インシデントからかなり時間がたっていても、学校や教育当局を名乗る迷惑メッセージに警戒する必要がある。
セキュリティチームにとって、今回のインシデントは、アカウント権限、ファイル転送の監視、機密記録を扱うベンダーの監督について実務的な問題を提起している。公表された情報からは、ETSでどの具体的な制御が機能しなかったのかは分からないが、組織はこのインシデントを自社のリスクを見直す機会にできる。
まず、どの人間用アカウントやサービスアカウントが機密ファイルを取得できるのか、データセット全体へのアクセスが必要なのか、使われていない権限を削除できるのかを確認する。各アカウントが必要とする記録とシステムにアクセスを限定し、対応している場合は 多要素認証を利用して、盗まれた認証情報を悪用しにくくする。
監視対象はサインインだけでなく、ファイルの活動にも及ぼすべきだ。セキュリティチームは、通常とは異なる大量のダウンロード、繰り返される転送、アカウントの通常業務と一致しないアクセスを調査し、不審なアカウントを無効化する明確な手順を整えておく必要がある。
ベンダーとデータを共有する組織は、アクセスログを誰が確認し、アラートを調査し、インシデントを伝えるのかも定めておくべきだ。実務上の目標は、侵害されたアカウントが取得できる情報量と、不正な活動が継続できる時間の両方を減らすことである。
続きを読む：業界を問わず、侵害されたログインが機密情報をさらし得ることを示す 従業員の認証情報と顧客データに関するASOSの侵害事例がその一例だ。