黑客竊取加州七百萬學生數據，學測承包商的文件站點被攻破

黑客竊取加州七百萬學生數據，學測承包商的文件站點被攻破

三個學年七百萬份學生檔案

加州教育部週五通報，加州公立學校學生的個人數據被黑客竊取，涉及過去三個學年在該州就讀的幾乎全部學生，規模約700萬份，洛杉磯時報、Politico、路透社、美聯社等多家媒體均確認了這一數字。路透社指出，僅2025—2026學年，加州公立學校在讀學生就超過570萬。美聯社進一步稱，受害面遠不止當前在讀學生：泄露記錄可追溯至2023學年，而那些離開加州、又沒有確認轉到外州學校的學生，記錄最早能回溯到2006年——這意味着大量已經成年、甚至早已搬離加州的人同樣在名單上。

被盜憑據鑽進學測文件通道

出事的不是加州教育部自己的系統，而是其合作方、非營利測評機構教育考試服務中心（ETS）運營的一處安全文件傳輸站點（SFTP）。ETS 爲加州管理全州範圍的標準化測評，包括 Smarter Balanced 考試和英語能力測評。加州教育部的調查結論是：未授權一方利用"一個被盜用的登錄憑據"，在2026年5月22日至9月18日之間多次進入該站點，複製了包含加州學生信息的文件。ETS 直到9月25日才發現異常，此時入侵已結束一週。

州府先通知學區再按下測評暫停鍵

10月2日，加州教育部已致信各縣與學區教育官員，通報"涉及 ETS 運營系統的事件"。主管副局長瑪麗·尼切利在信中表示，州教育官員"正在緊急與一個州級機構團隊合作，調查並確定事件的範圍與影響，包括哪些信息可能受到影響"。州府還說，正與州網絡安全專家協作評估對學生和家庭的影響，確保受影響者獲得相應信息與支持。ETS 則把涉事文件傳輸站點下線，重建了一個安全控制更強的新站點，同時暫停了正常的註冊數據處理和部分測評活動。加州教育部稱"正在積極工作以減少干擾，並及時恢復受影響的測評活動"。

社安號沒外泄，殘障與住址在列

加州方面表示，目前沒有證據表明這些數據已被公開，且社安號、財務信息、密碼、駕照信息和家長信息不在此次被複制的範圍內。但被竊內容依然敏感：姓名、出生日期、住址、所在學校、學生編號、人口統計信息、殘障狀況、項目資格以及測評結果。其中殘障狀況與出生日期的組合，足以讓人精準冒充一個未成年人的身份。

兩年免費監控外加一條防騙提醒

ETS 爲受影響者提供24個月的免費身份保護服務和身份被盜後的恢復協助，由 Experian IdentityWorks 承接；未成年人由家長或法定監護人代爲註冊，已成年學生可自行註冊，報名截止到2027年3月19日。官方還建議家長考慮爲16歲以下的子女申請免費信用凍結，防止有人以孩子的名義開戶。同時提醒對與本次事件相關的意外郵件、電話、短信保持警惕，包括自稱來自 ETS、州政府或信用監測機構的來電，並明確表示：不要在未經請求的聯絡中提供社安號、密碼或財務信息。

一個憑據爲何能通行數百萬條記錄

約翰斯霍普金斯大學信息安全研究所執行主任安東·達布拉的評論直指要害："一個被盜的登錄憑據，不應該變成一張通往數百萬學生個人記錄、有效期長達數月的通行證。"他追問：如果情況確實如此，那麼身份驗證防護、訪問限制和監測系統爲什麼沒能發現並阻止？這已是美國教育科技領域今年又一起大規模事件——今年4月和5月，廣泛用於K-12與高校的學習管理系統 Canvas 兩度被黑客組織 ShinyHunters 攻破，最終以"達成協議"取回數據收場。

家長能做的和州府待答的

對加州家庭來說，眼下可做的是查收 ETS 與州府的正式通知、按指引註冊身份保護服務、給孩子做信用凍結，並對釣魚保持警惕。對州政府來說，待答的問題同樣清楚：把全州學生的測評數據交給外部承包商之後，如何驗證對方的安全承諾？在下一個"一個憑據就能搬走數百萬條記錄"的漏洞出現之前，誰來把門？