黑客窃取加州七百万学生数据，学测承包商的文件站点被攻破

黑客窃取加州七百万学生数据，学测承包商的文件站点被攻破

三个学年七百万份学生档案

加州教育部周五通报，加州公立学校学生的个人数据被黑客窃取，涉及过去三个学年在该州就读的几乎全部学生，规模约700万份，洛杉矶时报、Politico、路透社、美联社等多家媒体均确认了这一数字。路透社指出，仅2025—2026学年，加州公立学校在读学生就超过570万。美联社进一步称，受害面远不止当前在读学生：泄露记录可追溯至2023学年，而那些离开加州、又没有确认转到外州学校的学生，记录最早能回溯到2006年——这意味着大量已经成年、甚至早已搬离加州的人同样在名单上。

被盗凭据钻进学测文件通道

出事的不是加州教育部自己的系统，而是其合作方、非营利测评机构教育考试服务中心（ETS）运营的一处安全文件传输站点（SFTP）。ETS 为加州管理全州范围的标准化测评，包括 Smarter Balanced 考试和英语能力测评。加州教育部的调查结论是：未授权一方利用"一个被盗用的登录凭据"，在2026年5月22日至9月18日之间多次进入该站点，复制了包含加州学生信息的文件。ETS 直到9月25日才发现异常，此时入侵已结束一周。

州府先通知学区再按下测评暂停键

10月2日，加州教育部已致信各县与学区教育官员，通报"涉及 ETS 运营系统的事件"。主管副局长玛丽·尼切利在信中表示，州教育官员"正在紧急与一个州级机构团队合作，调查并确定事件的范围与影响，包括哪些信息可能受到影响"。州府还说，正与州网络安全专家协作评估对学生和家庭的影响，确保受影响者获得相应信息与支持。ETS 则把涉事文件传输站点下线，重建了一个安全控制更强的新站点，同时暂停了正常的注册数据处理和部分测评活动。加州教育部称"正在积极工作以减少干扰，并及时恢复受影响的测评活动"。

社安号没外泄，残障与住址在列

加州方面表示，目前没有证据表明这些数据已被公开，且社安号、财务信息、密码、驾照信息和家长信息不在此次被复制的范围内。但被窃内容依然敏感：姓名、出生日期、住址、所在学校、学生编号、人口统计信息、残障状况、项目资格以及测评结果。其中残障状况与出生日期的组合，足以让人精准冒充一个未成年人的身份。

两年免费监控外加一条防骗提醒

ETS 为受影响者提供24个月的免费身份保护服务和身份被盗后的恢复协助，由 Experian IdentityWorks 承接；未成年人由家长或法定监护人代为注册，已成年学生可自行注册，报名截止到2027年3月19日。官方还建议家长考虑为16岁以下的子女申请免费信用冻结，防止有人以孩子的名义开户。同时提醒对与本次事件相关的意外邮件、电话、短信保持警惕，包括自称来自 ETS、州政府或信用监测机构的来电，并明确表示：不要在未经请求的联络中提供社安号、密码或财务信息。

一个凭据为何能通行数百万条记录

约翰斯霍普金斯大学信息安全研究所执行主任安东·达布拉的评论直指要害："一个被盗的登录凭据，不应该变成一张通往数百万学生个人记录、有效期长达数月的通行证。"他追问：如果情况确实如此，那么身份验证防护、访问限制和监测系统为什么没能发现并阻止？这已是美国教育科技领域今年又一起大规模事件——今年4月和5月，广泛用于K-12与高校的学习管理系统 Canvas 两度被黑客组织 ShinyHunters 攻破，最终以"达成协议"取回数据收场。

家长能做的和州府待答的

对加州家庭来说，眼下可做的是查收 ETS 与州府的正式通知、按指引注册身份保护服务、给孩子做信用冻结，并对钓鱼保持警惕。对州政府来说，待答的问题同样清楚：把全州学生的测评数据交给外部承包商之后，如何验证对方的安全承诺？在下一个"一个凭据就能搬走数百万条记录"的漏洞出现之前，谁来把门？