ETS SFTP凭据泄露致加州数百万学生信息被窃

资讯专家

加州教育部（CDE）披露，教育考试服务中心（ETS）一处用于与CDE共享考试数据的SFTP站点遭未授权访问，入侵者使用一个失陷的登录凭据复制了加州公立学校在读及往届学生信息。ETS根据合同处理州和联邦规定的考试，支持加州CAASPP和ELPAC评估项目。ETS于2026年9月25日发现该站点异常活动，但调查显示最早访问可追溯至5月下旬。

CDE违规通知称，未授权方在2026年5月22日至9月18日期间多次使用该失陷凭据访问SFTP站点并复制文件。官方未公布受影响人数，但通知称，加州学生信息被访问和复制，包括但不限于过去三个学年注册的所有学生。CDE招生数据表明，2025-2026学年加州公立学校注册学生超过570万。影响范围还涉及最早2006年离开加州学校、且转学未与CDE确认的学生。

可能泄露的数据包括学生姓名、出生日期、家庭住址、学校、学区、年级、州和地方ID编号、性别、种族或族裔、主要语言、原籍国和英语学习者状态。部分记录还包含残疾及Section 504状态、主要残疾类型、考试便利、英语能力数据、考试注册和成绩，并可能显示学生是否符合Title I、McKinney-Vento或军人家庭学生等身份认定。通知称文件不含社会安全号码、密码、金融账户或支付卡信息，也不涉及家长和监护人信息。

ETS已关闭入侵者使用的账户，将SFTP站点下线，并建设带有更强防护措施的新站点。官方披露未说明登录凭据如何失陷，也未确认攻击者身份。ETS表示已与执法部门和网络安全专家合作，采取降低数据被公开风险的措施；其网络监控暂未发现数据被公开的证据。

CDE在10月2日致县、学区教育主管和特许学校管理者的信中通报此事，早于家庭通知约两周。信中称，ETS在评估系统安全期间暂停了常规招生数据处理，并中止部分考试工作。学生通知于10月16日开始发送，预计持续至11月初。受影响在读及往届学生可注册两年免费身份保护服务。