Een gecompromitteerde login heeft mogelijk een grote hoeveelheid persoonsgegevens van studenten blootgesteld. Volgens de California Department of Education (CDE) is er in 2026 ongeautoriseerde toegang geweest tot een SFTP-bestandsuitwisselingssysteem dat Educational Testing Service (ETS) gebruikt voor onderwijs- en testdataverwerking.
Wat het extra gevoelig maakt, is de periode waarin de toegang plaatsvond: de oudste vastgestelde toegang dateert van eind mei, terwijl CDE/ETS pas op 25 september verdachte activiteit ontdekte. In deze bijdrage zetten we op een rij wat er is gebeurd, welke gegevens mogelijk zijn gekopieerd en welke concrete stappen betrokkenen kunnen verwachten.
Wat speelde er bij ETS en CDE?
ETS is een non-profitorganisatie die tests uitvoert die door de deelstaat Californië en federale instanties zijn vereist. In Californië ondersteunt ETS onder andere de CAASPP– en ELPAC-assessmentprogramma’s.
Om test- en verwerkingsdata te delen met CDE maakte ETS gebruik van een beveiligde file transfer omgeving (SFTP). ETS gebruikt die route om bestanden uit te wisselen die nodig zijn voor de onderwijsprogramma’s.
De gecompromitteerde login: toegang tot de SFTP-site
De kern van het incident is dat een aanvaller een inloggegeven (login credential) gebruikte die later als gecompromitteerd werd beoordeeld. CDE meldt dat de ongeautoriseerde partij in verschillende momenten toegang kreeg tot de SFTP-site.
Volgens de officiële breach notice liep de periode van misbruik van 22 mei 2026 tot en met 18 september 2026. ETS heeft later het account dat de intruder gebruikte uitgeschakeld en de SFTP-site tijdelijk offline gehaald.
Welke studenten en welke data lijken geraakt?
Hoewel er geen exact aantal slachtoffers in de melding wordt genoemd, geeft CDE context op basis van inschrijfcijfers. In 2025-2026 waren er volgens de eigen cijfers meer dan 5,7 miljoen leerlingen ingeschreven in het openbaar onderwijs in Californië.
De impacted populatie is niet beperkt tot alleen huidige studenten. De CDE-incident FAQ geeft aan dat het ook gaat om leerlingen die in eerdere jaren een school hebben verlaten en waarbij de overstap naar een andere school niet bevestigd werd met CDE.
De mogelijk ingeziene informatie van studenten kan onder meer bevatten:
- naam en geboortedatum
- thuisadres, school, district en leerjaar
- state- en lokale identificatienummers
- geslacht, ras of etniciteit
- primaire taal en land van herkomst
- status als English learner
In sommige records stonden daarnaast ook gegevens over gezondheid/ondersteuning, zoals disability– en Section 504-status, het type primaire beperking en informatie over test-accommodaties. Er kunnen ook gegevens zijn over taalvaardigheid en testregistratie of -resultaten.
Verder kan informatie voorkomen over administratieve onderwijslabeling, zoals of een student kwalificeert voor Title I, McKinney-Vento of de aanduiding voor militair verbonden studenten.
Wat niet in de bestanden zat (volgens de melding)
De officiële toelichting vermeldt dat de betrokken bestanden geen Social Security numbers, wachtwoorden of financiële details bevatten. Ook informatie over ouders en guardians wordt niet meegenomen in de scope van het incident.
Dat neemt niet weg dat het privacy-risico groot kan zijn: identiteitsgegevens, school- en onderwijsinformatie en ondersteuningsprofielen kunnen voor gericht misbruik of sociale engineering worden gebruikt.
Waarom dit wringt: toegang liep maanden vóór ontdekking
ETS ontdekte de ongeautoriseerde activiteit op 25 september 2026. Tegelijkertijd rapporteert CDE dat de vroegste toegang pas laat in mei te herleiden is. Dat betekent dat de gecompromitteerde login mogelijk gedurende een langere periode toegang gaf, voordat dit door monitoring of detectie werd opgemerkt.
De melding beschrijft ook dat de disclosures niet uitleggen hoe het login credential precies is gecompromitteerd. Evenmin wordt de aanvaller of actor geïdentificeerd.
ETS stelt wel dat het, na samenwerking met wetshandhaving en cybersecurity-experts, stappen heeft gezet om het risico te verlagen dat gegevens publiek toegankelijk worden. ETS geeft aan dat webmonitoring tot dusver geen aanwijzingen vond dat de data is gepubliceerd.
Beperking en herstel: SFTP offline en nieuw platform
ETS heeft het getroffen account uitgezet en de SFTP-site uit de lucht gehaald. Daarnaast beschrijft de respons dat er een vervangende omgeving wordt gebouwd met sterkere beveiligingsmaatregelen.
Daarmee is de directe aanvalsrout e (de toegang via de betreffende SFTP-site) in elk geval geblokkeerd, al blijft het zaak om de oorzaak te onderzoeken en preventief te verbeteren: een gecompromitteerde login wijst vaak op zwakke of onvoldoende beschermde authenticatie (bijvoorbeeld door hergebruik, phishing, of onvoldoende accountbeveiliging), maar dat wordt in dit geval niet concreet uitgewerkt.
Timing: CDE informeert scholen en start meldingen richting families
CDE gaf superintendents en charter school administrators een brief op basis van de incidentinformatie. Die brief is gedateerd 2 oktober, dus ongeveer twee weken vóórdat de eerste familie-kennisgevingen begonnen.
Studentmeldingen startten op 16 oktober en zouden doorlopen tot in de vroege dagen van november.
Voor getroffen (huidige en voormalige) studenten zijn er twee jaar gratis identity protection services beschikbaar. Dat is vooral relevant als persoonsgegevens zijn gekopieerd en daarmee de kans op identiteitsfraude of gerichte phishing toeneemt.
Wat betekent dit voor organisaties: voorkom herhaling van gecompromitteerde logins
Hoewel dit incident draait om onderwijs- en testdata, is het beveiligingspatroon breder toepasbaar: als een aanvaller eenmaal een geldig account (login credential) in handen krijgt, kan een schijnbaar “secure” data-uitwisselingskanaal toch doelwit worden.
Voor IT- en securityteams is het daarom zinvol om, naast patchen en monitoring, specifiek te letten op accountrisico’s rond omgevingen zoals SFTP of andere file transfer systemen:
- Strakke toegangscontrole (least privilege) voor accounts die data delen.
- Snelle detectie van ongebruikelijke loginmomenten en toegangspatronen.
- Authenticatiebescherming (bijvoorbeeld sterke MFA waar mogelijk, en het beperken van sessieduur).
- Loganalyse: correleer toegang met werkelijke planning van dossiers of batchverwerking.
Als je meer wilt lezen over hoe contextloze alerts te weinig helpen, kan je ook kijken naar contextuele cybersecurity: van losse alerts naar actie. Dat helpt bij het vertalen van signalen naar concrete vervolgstappen.
Gerelateerd: onderwijs en aanvallen op data-uitwisseling
Dit incident staat niet op zichzelf. In eerdere berichtgeving op de site zagen we ook dat onderwijs- en platformomgevingen worden geraakt bij datalekken of ransomware-achtige scenario’s. Een voorbeeld daarvan is de achtergrond bij ConnectWise Cloud Backup: Microsoft 365-incident, waarbij de impact van datakoppelingen en cloudprocessen duidelijk werd.
De overeenkomst zit in het idee dat data-uitwisseling en verwerking (al dan niet in de cloud) een groter aanvalsoppervlak vormen dan men op het eerste gezicht denkt.
Conclusie
De melding rond ETS en de CDE maakt duidelijk hoe ingrijpend een gecompromitteerde login kan zijn. In een periode van ongeveer vier maanden werd via een SFTP-bestandsuitwisselingssysteem toegang verkregen tot bestanden met mogelijk omvangrijke studentgegevens.
ETS heeft het account uitgeschakeld en de omgeving offline gehaald, en CDE werkt aan de communicatie richting families. Voor betrokken studenten en scholen is het vooral belangrijk om de aankondiging en identity protection guidance zorgvuldig op te volgen, terwijl organisaties tegelijk leren van dit type account-gedreven datadiefstal.
Bron: https://www.securityweek.com/one-compromised-login-exposed-millions-of-california-students-records/
2 reacties