California: datele a milioane de elevi, furate prin SFTP-ul ETS

Departamentul Educației din California (CDE) i-a avertizat pe elevii școlilor publice din stat că datele lor personale au fost copiate din sistemele unui furnizor: Educational Testing Service (ETS), organizația non-profit care administrează în numele statului testele obligatorii CAASPP (rezultate școlare) și ELPAC (cunoașterea limbii engleze). Atacatorul nu a exploatat nicio vulnerabilitate: potrivit anunțului CDE, preluat de SecurityWeek și The Record, a folosit o credențială de acces compromisă pentru a intra de mai multe ori, între 22 mai și 18 septembrie 2026, în site-ul SFTP prin care ETS făcea schimb de date despre teste cu departamentul.

Ce s-a întâmplat

ETS a observat activitatea neautorizată pe 25 septembrie, la o săptămână după ultimul acces cunoscut și la circa patru luni după primul. A dezactivat contul folosit de intrus, a scos din rețea întregul site SFTP și construiește o platformă nouă, cu protecții mai puternice.

Potrivit SecurityWeek, CDE i-a informat pe conducătorii școlari din comitate și districte și școlile charter printr-o scrisoare din 2 octombrie; notificările către familii au început pe 16 octombrie și vor continua până la începutul lui noiembrie. Elevilor afectați, actuali și foști, li se oferă gratuit, timp de doi ani, un serviciu de protecție a identității.

Între timp, ETS a oprit prelucrarea obișnuită a datelor de înscriere și unele activități legate de teste, cât timp se evaluează securitatea sistemelor sale. The Record relatează că CDE verifică, împreună cu experții în securitate cibernetică ai statului, dacă ETS a respectat cerințele de securitate a datelor și obligațiile contractuale.

Câți elevi și ce date

Anunțul oficial nu dă o cifră. Vorbește despre informații privind elevii din California, „inclusiv, dar fără a se limita la, toți elevii înscriși în ultimii trei ani școlari”, plus elevii care au părăsit o școală din California începând din 2006 fără ca transferul lor la altă școală să fi fost confirmat către CDE. SecurityWeek și The Record amintesc că în 2025-2026 erau înscriși peste 5,7 milioane de elevi în școlile publice ale statului; DataBreaches.net, citând primele relatări, vorbește de 7 milioane de elevi: este singura sursă care dă această cifră.

Fișierele copiate pot conține:

• numele, data nașterii, adresa de domiciliu, școala, districtul și clasa;
• identificatorul statal (SSID) și identificatorii locali ai elevului;
• genul, etnia, limba principală, țara de origine și statutul de elev care învață limba engleză;
• dizabilitatea, tipul principal de dizabilitate, statutul „Section 504” și adaptările pentru teste;
• eligibilitatea pentru programele Title I, McKinney-Vento (elevi fără adăpost) și pentru copiii militarilor;
• nivelul de engleză, înscrierea, participarea și rezultatele la evaluările statale.

Potrivit anunțului, fișierele nu conțineau coduri de asigurări sociale, parole, date bancare sau de carduri de plată și nici informații despre părinți sau tutori.

Detalii tehnice

• Vector de atac: acces cu credențiale valide la un server SFTP expus pe internet, folosit ca punct de schimb între furnizor și client. Sursele oficiale nu explică cum a fost compromisă credențiala și nu spun dacă contul era protejat cu un al doilea factor.
• Durată: accese repetate timp de circa patru luni (22 mai–18 septembrie), detectate abia pe 25 septembrie.
• MITRE ATT&CK (maparea noastră, pe baza faptelor descrise): T1078 (Valid Accounts) pentru accesul inițial și persistență; fișierele au fost copiate prin același serviciu legitim. Sursele nu menționează malware.
• Atribuire: niciuna. Potrivit The Record, până marți, 20 octombrie, niciun grup nu revendicase atacul.
• Publicarea datelor: după ce a lucrat cu forțele de ordine și cu experți în securitate cibernetică, ETS spune că a luat măsuri pentru a reduce riscul ca datele să devină publice; un purtător de cuvânt al CDE a refuzat să explice care sunt acestea. Monitorizarea web făcută de ETS nu a găsit, deocamdată, datele publicate.
• Indicatori de compromitere: niciunul publicat.

The Record amintește că furnizorii de servicii pentru școli sunt o țintă frecventă, cu incidente anterioare care au implicat PowerSchool, Instructure, Illuminate Education, McGraw Hill și Kaplan.

Impactul pentru companiile europene și italiene

Schema este des întâlnită și în Europa: un client care încredințează unui furnizor date în masă și un punct de schimb de fișiere (SFTP sau platformă de transfer) protejat de o singură credențială, adesea comună și niciodată schimbată, care rămâne activ ani la rând. Școlile, instituțiile publice, sănătatea și companiile care trimit date furnizorilor de salarizare, testare, logistică sau analiză au același risc.

Date precum dizabilitatea fac parte din categoriile speciale ale GDPR (art. 9), iar aici privesc minori: pentru operator nu este suficient că breșa a avut loc la persoana împuternicită. Pentru entitățile NIS2, securitatea lanțului de aprovizionare este una dintre măsurile de gestionare a riscului cerute, iar un furnizor care primește date în bloc trebuie evaluat și monitorizat ca parte din propriul perimetru.

Ce să faci acum

1. Inventariază punctele de schimb de fișiere cu furnizorii: cine le administrează, ce conturi există, ce date trec prin ele și cât timp rămân pe server.
2. Întărește autentificarea: conturi nominale pentru fiecare persoană sau sistem, chei SSH în loc de parole, al doilea factor acolo unde serviciul îl permite, acces limitat la adresele IP cunoscute ale furnizorului.
3. Schimbă credențialele de serviciu și dezactivează-le pe cele nefolosite; verifică dacă conturile domeniului tău apar în breșe cunoscute.
4. Înregistrează și urmărește descărcările: alerte pentru volume neobișnuite, ore de noapte, adrese sau țări noi. Patru luni de accese fără nicio alertă arată că aceste controale lipseau sau nu le citea nimeni.
5. Redu datele: pe serverul de schimb doar fișierele necesare și doar cât timp e nevoie; fără arhive istorice de decenii.
6. Revizuiește contractele: obligații de notificare rapidă, drept de audit și cerințe minime de securitate pentru punctul de schimb, așa cum prevede art. 28 din GDPR.

Cum ajută ARXDOME

ARX Expose semnalează conturile companiei implicate în breșe și arată porturile și serviciile expuse pe internet, inclusiv serverele SFTP. Pe serverele monitorizate, agentul ARX Sentry colectează loguri și evenimente de securitate, iar paginile de identitate ale SOC arată autentificările eșuate, folosirea credențialelor explicite, accesele de noapte și modificările conturilor; ARX Horizon îmbogățește fiecare conexiune cu țara, operatorul și listele de amenințări.

Ultima actualizare: 20 octombrie 2026