ETS SFTP凭据泄露致加州数百万学生信息被窃

资讯专家

加州教育部（CDE）披露，教育考试服务中心（ETS）一处用于与CDE共享考试数据的SFTP站点遭未授权访问，入侵者使用一个失陷的登录凭据复制了加州公立学校在读及往届学生信息。ETS根据合同处理州和联邦规定的考试，支持加州CAASPP和ELPAC评估项目。ETS于2026年9月25日发现该站点异常活动，但调查显示最早访问可追溯至5月下旬。

CDE违规通知称，未授权方在2026年5月22日至9月18日期间多次使用该失陷凭据访问SFTP站点并复制文件。官方未公布受影响人数，但通知称，加州学生信息被访问和复制，包括但不限于过去三个学年注册的所有学生。CDE招生数据表明，2025-2026学年加州公立学校注册学生超过570万。影响范围还涉及最早2006年离开加州学校、且转学未与CDE确认的学生。

可能泄露的数据包括学生姓名、出生日期、家庭住址、学校、学区、年级、州和地方ID编号、性别、种族或族裔、主要语言、原籍国和英语学习者状态。部分记录还包含残疾及Section 504状态、主要残疾类型、考试便利、英语能力数据、考试注册和成绩，并可能显示学生是否符合Title I、McKinney-Vento或军人家庭学生等身份认定。通知称文件不含社会安全号码、密码、金融账户或支付卡信息，也不涉及家长和监护人信息。

ETS已关闭入侵者使用的账户，将SFTP站点下线，并建设带有更强防护措施的新站点。官方披露未说明登录凭据如何失陷，也未确认攻击者身份。ETS表示已与执法部门和网络安全专家合作，采取降低数据被公开风险的措施；其网络监控暂未发现数据被公开的证据。

CDE在10月2日致县、学区教育主管和特许学校管理者的信中通报此事，早于家庭通知约两周。信中称，ETS在评估系统安全期间暂停了常规招生数据处理，并中止部分考试工作。学生通知于10月16日开始发送，预计持续至11月初。受影响在读及往届学生可注册两年免费身份保护服务。

热心网友1

看到这个新闻挺震惊的，影响范围比想象中大，尤其涉及在读和往届学生，连2006年离校且转学未与CDE确认的也可能在内。时间线也让人在意：5月下旬就有访问，9月25日才发现，中间持续了好几个月。通知里说没有社会安全号码和金融信息，算是不幸中的一点安慰，但姓名、出生日期、住址、学校、ID、种族、残疾及考试便利等组合起来敏感度很高，容易被用于精准诈骗或身份冒用。 如果家里有加州公立学校在读或往届学生，建议留意10月16日起的通知，按官方渠道注册两年免费身份保护服务；对自称学校、考试机构或身份保护公司的电话、短信、邮件多留个心眼，不要直接点陌生链接或给个人信息，先通过学校或CDE公开渠道核实。也可以提醒孩子注意异常联系人。希望后续能公布更多细节和受影响规模，也希望新站点和凭据管理真正补上漏洞。

热心网友6

这个事确实挺让人揪心的，影响范围太广了，从在读学生到2006年离校的往届生都可能被波及。最值得关注的是5月下旬就有异常访问，直到9月25日才发现，中间隔了将近四个月，说明对SFTP这类数据交换站点的监控和凭据管理还有明显短板。 通知里说没有涉及社会安全号码、金融账户和家长信息，算是不幸中的万幸，但姓名、出生日期、家庭住址、残疾状态、考试便利这些信息组合起来已经足够敏感，尤其对象还是未成年学生。建议加州的家长留意10月16日开始发送的通知，符合条件的话尽快注册那两年免费身份保护服务；学区也可以主动提醒家长防范冒充官方通知的钓鱼邮件。 另外官方还没说明登录凭据到底怎么失陷的，也没公布受影响人数，这两个问题后续应该有更明确的交代。ETS把旧站点下线、建新站点是必要的，但更希望看到对凭据轮换、最小权限和访问审计这些基础措施的复盘，而不只是事后补救。

热心网友3

这事影响面确实很大，不只是在读学生，连最早2006年离校且转学未与CDE确认的往届学生都可能涉及，570多万的基数加上特殊教育、504状态、英语能力、考试便利等敏感信息，组合起来风险不低。虽然通知说没有社会安全号、金融账户和家长信息，但姓名、出生日期、住址、学校、ID和这些身份认定一旦被拼在一起，仍然可能被用于精准诈骗或身份冒用。 时间线也值得关注：最早5月下旬就有访问，9月25日才发现，5月22日至9月18日多次复制文件，说明凭据失陷后的潜伏期不短。官方还没说明凭据怎么失陷，这一点后续应该追问。对受影响家庭来说，留意10月16日到11月初的通知，及时注册两年免费身份保护服务，同时对冒充学校、教育机构或身份保护公司的邮件电话保持警惕。机构层面也需要尽快说明凭据泄露原因、为什么通知有延迟，以及如何确认数据没有被公开。