طبق گزارش وزارت آموزش کالیفرنیا (CDE)، اطلاعات شخصی دانش‌آموزان فعلی و سابق مدارس دولتی این ایالت از طریق یک سیستم انتقال فایل (File Transfer System) متعلق به سازمان Educational Testing Service (ETS) کپی شده است.
سازمان ETS یک نهاد غیرانتفاعی است که تحت قرارداد با ایالت، آزمون‌های الزامی دولتی و فدرال را مدیریت می‌کند. این سازمان برای اشتراک‌گذاری داده‌های آزمون با CDE، از یک پروتکل انتقال فایل امن (SFTP) استفاده می‌کرد.
این سازمان فعالیت‌های غیرمجاز در سایت مذکور را در تاریخ ۲۵ سپتامبر شناسایی کرد، اما بررسی‌ها نشان می‌دهد که اولین دسترسی‌ها به اواخر ماه می بازمی‌گردد. طبق بیانیه CDE، یک عامل تهدید (Threat Actor) با استفاده از یک شناسه کاربری سرقت‌شده (Compromised Login Credential)، در بازه‌های زمانی مختلف بین ماه‌های مه تا سپتامبر به سایت SFTP دسترسی داشته و فایل‌های حاوی اطلاعات دانش‌آموزان را کپی کرده است.
اگرچه تعداد دقیق قربانیان اعلام نشده، اما با توجه به آمار ثبت‌نام، این حادثه می‌تواند بیش از ۵.۷ میلیون دانش‌آموز را تحت تأثیر قرار دهد. دامنه اطلاعات سرقتی شامل دانش‌آموزانی است که حتی از سال ۲۰۰۶ مدارس کالیفرنیا را ترک کرده‌اند.
داده‌های لو رفته شامل موارد زیر است:
- نام، تاریخ تولد، آدرس منزل و مدرسه
- شماره‌های شناسایی ایالتی و محلی، جنسیت و نژاد
- زبان اصلی، کشور مبدأ و وضعیت یادگیری زبان انگلیسی
- اطلاعات حساس مانند وضعیت معلولیت، نوع معلولیت و تسهیلات آزمون
- نتایج آزمون‌ها و ثبت‌نام‌های آموزشی
خوشبختانه، طبق گزارش‌ها، شماره‌های تأمین اجتماعی (Social Security Numbers)، رمزهای عبور و جزئیات حساب‌های مالی در این نشت داده‌ها قرار نداشته‌اند.
سازمان ETS بلافاصله حساب کاربری مورد استفاده مهاجم را مسدود و سایت SFTP را از دسترس خارج کرد. همچنین در حال ساخت یک سایت جایگزین با تدابیر امنیتی قوی‌تر است. با وجود اینکه نحوه سرقت اعتبار کاربری یا هویت مهاجم مشخص نشده، ETS اعلام کرده است که با همکاری نهادهای قانونی و کارشناسان امنیت سایبری، اقدامات لازم را برای کاهش ریسک انتشار عمومی داده‌ها انجام داده است.
