California'da son üç yılda devlet okuluna kayıtlı bütün öğrencilerin verileri, sınav yüklenicisi ETS'den çalındı

California Eğitim Bakanlığı (CDE), eyaletin zorunlu sınavlarını yürüten yüklenici Educational Testing Service’e (ETS) yapılan siber saldırıda öğrenci verilerinin çalındığını açıkladı. ETS, eyaletin CAASPP başarı sınavlarını ve İngilizce yeterlilik sınavı ELPAC’ı yürüten, kâr amacı gütmeyen bir kuruluş. Sınav verilerini bakanlıkla paylaşmak için bir SFTP (güvenli dosya aktarım) sitesi kullanıyordu.

Olayın gelişimi

Bakanlığın bildirimine göre yetkisiz bir kişi, ele geçirilmiş bir giriş bilgisiyle ETS’nin SFTP sitesine girdi ve 22 Mayıs ile 18 Eylül 2026 arasında farklı zamanlarda öğrenci bilgilerini içeren dosyaları kopyaladı. ETS izinsiz hareketi 25 Eylül’de fark etti. Önce saldırganın kullandığı hesabı kapattı, ardından siteyi tamamen kapatıp daha güçlü önlemlerle yeni bir platform kurmaya başladı.

Resmi açıklamalar, giriş bilgisinin nasıl ele geçirildiğini ya da saldırganın kim olduğunu söylemiyor. The Record’a göre 20 Ekim itibarıyla saldırıyı üstlenen bir grup yok.

Alınan veriler

Kopyalanan bilgiler şunları içeriyor:

• Ad, doğum tarihi, ev adresi, okul, ilçe ve sınıf düzeyi
• Eyalet ve okul öğrenci numaraları
• Cinsiyet, ırk ya da etnik köken, ana dil, doğduğu ülke ve İngilizce öğrenen öğrenci durumu
• Bazı kayıtlarda engellilik durumu ve türü, sınav uyarlamaları, İngilizce yeterlilik bilgileri, sınav kayıtları ve sonuçları
• Bazı kayıtlarda düşük gelirli ailelere, evsiz öğrencilere ve asker ailelerine yönelik gibi federal programlara uygunluk bilgisi

SecurityWeek’e göre sosyal güvenlik numaraları, parolalar, banka ve kart bilgileri ile veli bilgileri etkilenmedi.

Kaç kişi etkilendi

Bir sayı açıklanmadı. Bakanlığa göre etkilenenler, son üç öğretim yılında California devlet okullarına kayıtlı bütün öğrenciler. Buna, 2006’dan bu yana bir California okulundan ayrılan ve başka okula geçtiği bakanlıkça doğrulanmayan eski öğrenciler de dahil. Eyalette 2025 yılında devlet okullarına kayıtlı öğrenci sayısı 5,7 milyonu aşıyordu.

Bundan sonra

Bakanlık 2 Ekim’de okul yöneticilerini bilgilendirdi, ailelere bildirim 16 Ekim’de başladı ve kasım ayı boyunca sürecek. Etkilenen öğrencilere iki yıllık ücretsiz kimlik koruma hizmeti sunuluyor.

ETS, kolluk kuvvetleri ve siber güvenlik uzmanlarıyla birlikte verilerin yayımlanma riskini azaltacak adımlar attığını ve internet taramalarında verilerin yayımlandığına dair bir iz bulmadığını söylüyor. The Record’a konuşan bakanlık sözcüsü bu adımların ne olduğunu açıklamadı. Bakanlık ayrıca ETS’nin veri güvenliği ve sözleşme yükümlülüklerine uyup uymadığını incelediğini belirtti. ETS, olağan kayıt veri işlemlerini durdurdu ve bazı sınav çalışmalarını askıya aldı.

The Record, PowerSchool, Instructure, McGraw Hill ve Kaplan gibi eğitim hizmeti şirketlerinin de daha önce benzer saldırılara hedef olduğunu hatırlatıyor. Olay, bir kurumun verisinin, o veriyi işleyen bir yüklenicinin tek bir hesabı kadar güvende olduğunu bir kez daha gösteriyor.