Bij een groot datalek in de Amerikaanse staat Californië zijn persoonsgegevens van miljoenen leerlingen buitgemaakt, dat meldt SecurityWeek. Cybercriminelen wisten met gestolen inloggegevens toegang te krijgen tot een systeem van de non-profitorganisatie Educational Testing Service (ETS). De onbevoegde toegang bleef maandenlang onopgemerkt.

ETS verzorgt namens de staat Californië verschillende onderwijstoetsen. Volgens de organisatie heeft een onbevoegde partij tussen 22 mei en 18 september 2026 op verschillende momenten toegang gehad tot een beveiligde omgeving voor het uitwisselen van bestanden. Daarbij werden bestanden met leerlinggegevens ingezien en gekopieerd. Het incident werd pas op 25 september ontdekt.

De getroffen bestanden bevatten onder meer namen, geboortedata, adressen, schoolgegevens, leerlingnummers, land van herkomst en toetsresultaten. Ook gevoelige informatie over beperkingen en deelname aan onderwijsprogramma's maakte deel uit van de gegevens. Volgens ETS zijn er geen burgerservicenummers, financiële gegevens, wachtwoorden of gegevens van ouders en verzorgers buitgemaakt.

Het datalek raakt leerlingen die gedurende de afgelopen drie schooljaren stonden ingeschreven maar mogelijk ook leerlingen uit eerdere jaren. Het exacte aantal getroffen personen is niet genoemd. Na de ontdekking heeft ETS het betrokken account uitgeschakeld en de getroffen SFTP-site offline gehaald. Vervolgens is een nieuwe omgeving ingericht met aanvullende beveiligingsmaatregelen.

Externe beveiligingsspecialisten zijn ingeschakeld om het incident verder te onderzoeken. De autoriteiten zijn geïnformeerd en de Californische onderwijsinstanties onderzoeken of ETS zich aan de geldende beveiligingseisen heeft gehouden. Volgens ETS zijn er vooralsnog geen aanwijzingen dat de buitgemaakte informatie openbaar is gemaakt.