Er is een incident gemeld waarbij een gecompromitteerde login werd gebruikt om bestanden te kopiëren uit een overdrachtsomgeving van ETS. Het gaat om gevoelige informatie van huidige en (voormalige) studenten in het Amerikaanse Californië, afkomstig uit een SFTP-site die bedoeld was voor het uitwisselen van toets- en onderwijsdata.
Volgens de California Department of Education (CDE) werd de ongeautoriseerde toegang op 25 september ontdekt, terwijl de eerste verdachte activiteit teruggaat naar eind mei. Hoewel de exacte methodiek achter de gestolen inloggegevens niet is toegelicht, is duidelijk dat de aanvaller gedurende een langere periode toegang had tot het systeem en gegevens heeft gekopieerd.
Wat gebeurde er precies met de gecompromitteerde login?
De CDE beschrijft dat een onbekende partij een gecompromitteerde login gebruikte op meerdere momenten in de periode van 22 mei 2026 tot 18 september 2026. Met die inlog werd de SFTP-site benaderd om bestanden te kopiëren die informatie bevatten over studenten uit Californië.
ETS is een non-profitorganisatie die testen uitvoert die door de staat en federale overheid worden voorgeschreven. In Californië ondersteunt ETS onder meer de CAASPP- en ELPAC-assessmentprogramma’s. Voor de gegevensuitwisseling met de CDE gebruikte ETS een SFTP-platform, bedoeld om test- en onderwijsdata veilig te transporteren.
Welke studenten en welke data zijn mogelijk geraakt?
De exacte aantallen slachtoffers zijn niet publiek gemaakt. De CDE geeft wel context via inschrijvingscijfers: in het schooljaar 2025-2026 stonden meer dan 5,7 miljoen studenten ingeschreven in Californië’s openbare scholen.
Daarnaast stelt de incident FAQ dat de impact verder reikt dan alleen huidige studenten. Ook studenten die eerder een school in Californië verlieten, vallen mogelijk onder de getroffen groep—tot en met 2006—voor zover de overdracht naar een andere school niet met de CDE was bevestigd.
Over de inhoud van de gekopieerde bestanden is meer detail bekend. In veel gevallen gaat het om persoons- en onderwijsgegevens, waaronder:
- naam en geboortedatum
- thuisadres, school, district en leerjaar
- staat- en lokale identificatienummers
- geslacht, ras of etniciteit
- primaire taal en status als Engelse leerling
- land van herkomst
In sommige records staat zelfs aanvullende informatie, zoals status rond een beperking en Section 504, het type primaire beperking, informatie over testaccommodaties en gegevens over taalvaardigheid. Ook kunnen gegevens aangeven of een student kwalificeert voor aanduidingen zoals Title I, McKinney-Vento of status van studenten die verbonden zijn aan militaire gezinnen.
Wat ontbreekt er volgens de meldingen?
De officiële bekendmakingen geven expliciet aan dat de bestanden geen Social Security numbers bevatten. Ook waren er geen passwords opgenomen en geen informatie over financiële rekeningen of betaal- of creditcardgegevens.
Verder meldt de CDE dat gegevens van ouders en verzorgers niet bij de betrokken informatie horen. Dat verkleint het type fraude- en identiteitsrisico, maar betekent niet dat het incident zonder gevolgen is—zeker omdat onderwijs- en persoonsinformatie op zichzelf al misbruikt kan worden.
Welke acties zijn genomen na de ontdekking?
ETS heeft het account dat door de aanvaller werd gebruikt uitgeschakeld en de SFTP-site offline gehaald. Daarnaast beschrijft ETS maatregelen om een vervangende omgeving te bouwen met sterkere beveiligingswaarborgen.
Ook is er samengewerkt met politie en cybersecurity-experts. Volgens de verklaring heeft ETS stappen genomen om de kans te verkleinen dat de data openbaar wordt gemaakt. ETS gaf aan dat webmonitoring tot nu toe geen bewijs heeft gevonden dat de informatie is gepubliceerd.
Wanneer startten meldingen en wat krijgen getroffen personen?
CDE heeft op 2 oktober een brief gestuurd naar superintendenten en beheerders van charter schools. Die brief ging vergezeld van informatie over het incident en gaf aan dat ETS is gestopt met regelmatige verwerking van inschrijvingsgegevens en enkele testwerkzaamheden tijdelijk heeft gepauzeerd terwijl de beveiliging opnieuw werd geëvalueerd.
Familie- en studentmeldingen begonnen op 16 oktober en zouden moeten doorlopen in begin november. Voor getroffen huidige en voormalige studenten is er bovendien de mogelijkheid om zich twee jaar aan te melden voor gratis identiteitsbeschermingsdiensten.
Bekend maar onduidelijk: hoe raakte de login gecompromitteerd?
Een belangrijk open eind is de oorzaak. De bekendmakingen lichten niet toe hoe de login is gecompromitteerd en ook niet wie de aanvaller was. Dat is relevant, omdat het de manier waarop organisaties moeten leren van het incident beïnvloedt: zonder inzicht in de aanvalsvector blijft het risico op herhaling bestaan.
Wat wel duidelijk is: een gecompromitteerde accountcredential kan voldoende zijn om, zelfs bij een technisch beveiligd transportkanaal zoals SFTP, toegang te krijgen tot gevoelige dossiers. Het is daarom zaak om niet alleen te kijken naar encryptie en protocollen, maar vooral naar accountbeveiliging, monitoring en incidentrespons.
Waarom dit ook buiten onderwijs een les is
Organisaties die data uitwisselen via beveiligde transferomgevingen vertrouwen vaak op de veronderstelling dat de overdracht “secure” is. Dit incident laat zien dat de beveiliging alsnog kan falen wanneer de identiteit achter de toegang wegvalt. Daarbij kan het gaan om zaken als gestolen inloggegevens, falende toegangscontrole of ontbrekende detectie—zonder dat dat in dit specifieke geval is vastgesteld.
Een extra waarschuwing is de tijdlijn: de ongeautoriseerde toegang liep van eind mei tot medio september. Dat betekent dat er niet alleen een lek was, maar ook een periode waarin de toegang niet (tijdig) werd geblokkeerd of gedetecteerd.
Praktische aandachtspunten voor organisaties
Hoewel dit incident specifiek over ETS en Californië gaat, kunnen andere organisaties direct profiteren van een paar best practices rondom gecompromitteerde toegang.
- Versterk accountbeveiliging: gebruik waar mogelijk multi-factor authenticatie en controleer of toegang per rol en omgeving is beperkt.
- Detecteer afwijkend gedrag: monitor toegangspatronen naar transferomgevingen (bijvoorbeeld ongebruikelijke tijdstippen of nieuwe verbindingen).
- Leg rotatie en herstel vast: zorg dat credentials snel kunnen worden ingetrokken en dat een omgeving binnen korte tijd kan worden hersteld.
- Test je incidentproces: maak duidelijk wie wat doet wanneer een toegangsaccount is gecompromitteerd en data wordt benaderd.
Als je binnen je organisatie nog te weinig tijd hebt voor dat soort oefening, kan het helpen om incidenten uit andere sectoren als oefencasus te gebruiken. Bijvoorbeeld: bij eerdere compromises rond beheertoegang werd vaak dezelfde basisles zichtbaar—namelijk dat zodra een account of toegangspunt valt, verdere maatregelen vooral moeten draaien op snelle detectie en containment. Zie ook gecompromitteerde ConnectWise toegang: wat nu te doen? voor een aanpak op hoofdlijnen.
Andere onderwijs- en platformincidenten in context
In het onderwijsdomein verschijnen vaker berichten over datadiefstal en ransomware. Dat betekent niet dat het om dezelfde oorzaak gaat, maar het onderstreept wel dat onderwijsorganisaties vaak aantrekkelijke doelwitten zijn vanwege de grote hoeveelheid persoonsgegevens en de lange administratieve doorlooptijden.
Voor aanvullende context over platform- en ransomwaregerelateerde datadiefstal kun je ook letten op eerder gepubliceerde incidenten, zoals meldingen rond systemen die onderwijsinstellingen gebruiken. Een voorbeeld is een gecompromitteerde npm Web3 accelerator—niet omdat het technisch hetzelfde is, maar omdat supply-chain en toegang tot systemen in algemene zin opnieuw een terugkerend patroon vormen.
Conclusie
Deze zaak draait om een gecompromitteerde login die werd gebruikt om gedurende maanden via een SFTP-omgeving bestanden te kopiëren met gegevens van studenten. De CDE meldt dat er geen Social Security numbers, passwords of betaalgegevens in de getroffen bestanden zaten, en dat ouderinformatie niet is betrokken. Tegelijk is de impact breed: records bevatten uiteenlopende persoons- en onderwijsinformatie, en de getroffen populatie kan in de praktijk miljoenen omvatten.
Voor organisaties is de kernboodschap helder: beveiligde datatransport is niet genoeg als accounts en toegangspunten kwetsbaar zijn. Investeer daarom in sterke accountbescherming, detectie van afwijkende toegang en snelle maatregelen zodra gecompromitteerde credentials worden vermoed.
Bron: https://www.securityweek.com/one-compromised-login-exposed-millions-of-california-students-records/
