California: dati di milioni di studenti rubati via SFTP da ETS

Il Dipartimento dell’Istruzione della California (CDE) ha avvisato gli studenti delle scuole pubbliche dello Stato che i loro dati personali sono stati copiati dai sistemi di un fornitore: Educational Testing Service (ETS), l’organizzazione non profit che gestisce per conto dello Stato i test obbligatori CAASPP (rendimento scolastico) ed ELPAC (conoscenza dell’inglese). L’attaccante non ha forzato nessuna vulnerabilità: secondo l’avviso del CDE, ripreso da SecurityWeek e The Record, ha usato una credenziale di accesso compromessa per entrare a più riprese, tra il 22 maggio e il 18 settembre 2026, nel sito SFTP con cui ETS scambiava i dati dei test con il dipartimento.

Cosa è successo

ETS ha notato l’attività non autorizzata il 25 settembre, una settimana dopo l’ultimo accesso noto e circa quattro mesi dopo il primo. Ha disattivato l’account usato dall’intruso, ha tolto dalla rete l’intero sito SFTP e sta costruendo una nuova piattaforma con protezioni più forti.

Secondo SecurityWeek, il CDE ha informato i dirigenti scolastici di contee e distretti e le scuole charter con una lettera del 2 ottobre; le comunicazioni alle famiglie sono partite il 16 ottobre e continueranno fino ai primi di novembre. Agli studenti coinvolti, attuali ed ex, viene offerto un servizio gratuito di protezione dell’identità per due anni.

Nel frattempo ETS ha sospeso l’elaborazione ordinaria dei dati delle iscrizioni e alcune attività dei test, mentre la sicurezza dei suoi sistemi viene valutata. The Record riporta che il CDE sta verificando, con gli esperti di sicurezza dello Stato, se ETS abbia rispettato i requisiti di sicurezza dei dati e gli obblighi contrattuali.

Quanti studenti e quali dati

L’avviso ufficiale non dà un numero. Parla di informazioni sugli studenti della California «compresi, ma non solo, tutti gli iscritti dei tre anni scolastici precedenti», più gli studenti che hanno lasciato una scuola californiana a partire dal 2006 senza che il trasferimento in un’altra scuola sia stato confermato al CDE. SecurityWeek e The Record ricordano che nel 2025-2026 gli iscritti alle scuole pubbliche dello Stato erano oltre 5,7 milioni; DataBreaches.net, citando i primi resoconti, parla di 7 milioni di studenti: è l’unica fonte a dare questa cifra.

I file copiati possono contenere:

• nome, data di nascita, indirizzo di casa, scuola, distretto e classe;
• identificativo statale (SSID) e identificativi locali dello studente;
• genere, etnia, lingua principale, paese d’origine e stato di studente in apprendimento dell’inglese;
• disabilità, tipo di disabilità principale, stato «Section 504» e misure di adattamento per i test;
• idoneità ai programmi Title I, McKinney-Vento (studenti senza dimora) e per figli di militari;
• livello di inglese, iscrizione, partecipazione e risultati delle prove statali.

Secondo l’avviso non c’erano numeri di previdenza sociale, password, dati bancari o di carte di pagamento, né informazioni su genitori e tutori.

Dettagli tecnici

• Vettore d’attacco: accesso con credenziali valide a un server SFTP esposto, usato come punto di scambio tra fornitore e committente. Le fonti ufficiali non spiegano come la credenziale sia stata compromessa e non dicono se l’account fosse protetto da un secondo fattore.
• Durata: accessi ripetuti per circa quattro mesi (22 maggio–18 settembre), rilevati solo il 25 settembre.
• MITRE ATT&CK (nostra mappatura, sui fatti descritti): T1078 (Valid Accounts) per l’accesso iniziale e la permanenza; la copia dei file è avvenuta attraverso lo stesso servizio legittimo. Le fonti non citano malware.
• Attribuzione: nessuna. Secondo The Record, fino a martedì 20 ottobre nessun gruppo aveva rivendicato l’attacco.
• Pubblicazione dei dati: dopo aver lavorato con le forze dell’ordine e con esperti di sicurezza, ETS dice di aver preso misure per ridurre il rischio che i dati vengano resi pubblici; un portavoce del CDE ha rifiutato di spiegare quali. Il monitoraggio del web fatto da ETS non ha trovato, finora, i dati pubblicati.
• Indicatori di compromissione: nessuno pubblicato.

The Record ricorda che i fornitori di servizi per la scuola sono un bersaglio ricorrente, con incidenti precedenti che hanno coinvolto PowerSchool, Instructure, Illuminate Education, McGraw Hill e Kaplan.

Impatto per le aziende europee e italiane

Lo schema è comune anche in Europa: un committente che affida a un fornitore dati di massa e un punto di scambio file (SFTP o piattaforma di trasferimento) protetto da una sola credenziale, spesso condivisa e mai ruotata, che resta attivo per anni. Scuole, enti pubblici, sanità e aziende che inviano dati a fornitori di paghe, test, logistica o analisi hanno lo stesso rischio.

Dati come la disabilità rientrano tra le categorie particolari del GDPR (art. 9), e qui riguardano minori: per il titolare non basta che la violazione sia avvenuta presso il responsabile del trattamento. Per i soggetti NIS2 la sicurezza della catena di approvvigionamento è una delle misure di gestione del rischio richieste, e un fornitore che riceve dati in blocco va valutato e controllato come parte del proprio perimetro.

Cosa fare subito

1. Censisci i punti di scambio file con i fornitori: chi li gestisce, quali account esistono, quali dati transitano e da quanto tempo restano sul server.
2. Rafforza l’autenticazione: account nominativi per ogni persona o sistema, chiavi SSH al posto delle password, secondo fattore dove il servizio lo permette, accesso limitato agli indirizzi IP noti del fornitore.
3. Ruota le credenziali di servizio e disattiva quelle inutilizzate; controlla se gli account del dominio compaiono in violazioni note.
4. Registra e sorveglia gli scaricamenti: allarmi su volumi insoliti, orari notturni, indirizzi o paesi nuovi. Quattro mesi di accessi senza allarme indicano che questi controlli mancavano o non venivano letti.
5. Riduci i dati: sul server di scambio solo i file necessari e per il tempo necessario; niente archivi storici di decenni.
6. Rivedi i contratti: obblighi di notifica rapida, diritto di verifica, requisiti minimi di sicurezza per il punto di scambio, come previsto dall’art. 28 del GDPR.

Come aiuta ARXDOME

ARX Expose segnala gli account aziendali coinvolti in violazioni e mostra porte e servizi esposti su Internet, server SFTP compresi. Sui server monitorati, l’agent di ARX Sentry raccoglie log ed eventi di sicurezza e le pagine identità del SOC mostrano accessi falliti, uso di credenziali esplicite, accessi notturni e modifiche agli account; ARX Horizon arricchisce ogni connessione con paese, operatore e liste di minacce.

Ultimo aggiornamento: 20 ottobre 2026