Miljoenen huidige en voormalige openbare scholieren in Californië hebben gevoelige persoonlijke informatie verloren nadat aanvallers een systeem van de Educational Testing Service (ETS) hebben gecompromitteerd. De inbreuk had invloed op leerlinggegevens die over meerdere jaren zijn verzameld, waaronder informatie over beperkingen, academische prestaties en gezinsomstandigheden.
Het California Department of Education maakte het incident bekend op 16 oktober 2026. Functionarissen bevestigden dat de gestolen informatie betrekking heeft op leerlingen die zich in de voorgaande drie schooljaren hadden ingeschreven, met enkele documenten die teruggaan tot 2006. Ongeveer 5,7 miljoen leerlingen bezochten alleen al het laatste schooljaar openbare scholen in Californië.
Onderzoekers herleidden de inbraak tot een gecompromitteerd inlogbewijs dat werd gebruikt om toegang te krijgen tot een ETS-beveiligd bestandsoverdrachtsysteem. Het platform stelde de testaanbieder en staatsonderwijsfunctionarissen in staat om beoordelingsinformatie uit te wisselen, maar de gestolen inloggegevens gaven een ongeautoriseerde persoon toegang tot bestanden met studentengegevens.
Volgens het departement kopieerde de aanvaller tussen 22 mei en 18 september 2026 meerdere keren informatie. ETS ontdekte op 25 september verdachte activiteiten, wat betekende dat de ongeautoriseerde toegang bijna vier maanden doorging voordat deze werd ontdekt.
De gecompromitteerde gegevens kunnen namen, thuisadressen, geboortedata, schoolinformatie, studentenidentificatienummers en academische beoordelingsresultaten bevatten. Sommige dossiers bevatten ook demografische gegevens, taalvaardigheidsinformatie, handicapclassificaties, testvoorzieningen en geschiktheid voor onderwijsondersteuningsprogramma’s.
ETS benadrukte dat sofinummers, financiële rekeninggegevens, betaalkaartgegevens, wachtwoorden en informatie van ouders of voogden niet in de gestolen dossiers zijn opgenomen.
Na de ontdekking schakelde ETS het gecompromitteerde account uit en schakelde het getroffen bestandsoverdrachtsysteem af. De organisatie bouwde vervolgens een vervangend platform met sterkere beveiligingsmaatregelen en schakelde externe cybersecurityspecialisten in om het incident te onderzoeken.
De verstoring had ook invloed op de normale verwerking van studenteninschrijvingsinformatie die wordt gebruikt voor staatsbrede toetsen. ETS zei dat het werkt aan het herstellen van diensten en het versterken van de toezicht- en toegangsbeperkingen.
Hoewel de gestolen gegevens gevoelige informatie bevatten, meldde ETS geen bewijs te vinden dat de gegevens openbaar waren vrijgegeven. De autoriteiten hebben de aanvaller niet geïdentificeerd of uitgelegd hoe de oorspronkelijke inloggegevens zijn gecompromitteerd.
Meldingen aan getroffen studenten en gezinnen begonnen op 16 oktober en zullen naar verwachting doorgaan tot begin november. ETS biedt twee jaar gratis identiteitsbeschermingsdiensten aan via Experian IdentityWorks.