Çalınan ETS parolası milyonlarca Kaliforniyalı öğrencinin verisini aylarca açıkta bıraktı

Los Angeles Times'ın haberine göre, California'da zorunlu standart sınavları yürüten kâr amacı gütmeyen yüklenici Educational Testing Service (ETS) üzerinden milyonlarca mevcut ve eski devlet okulu öğrencisinin kişisel verisi çalındı. Gazetenin California Eğitim Bakanlığı'na (CDE) dayandırdığı bilgilere göre yetkisiz bir kişi, ele geçirilmiş bir kullanıcı hesabıyla 22 Mayıs-18 Eylül 2026 arasında farklı zamanlarda öğrenci dosyalarını kopyaladı. Olay, ABD'de bu yıl duyurulan en büyük öğrenci verisi ihlallerinden biri.

Neler oldu?

Los Angeles Times'ın aktardığına göre ETS saldırıyı 25 Eylül'de fark etti. Okul bölgesi yöneticileri 2 Ekim'de bilgilendirildi, kamuoyuna ilk duyuru ise 16 Ekim Cuma günü yapıldı. Gazete, eyaletin açıklamasında fidye talebi olup olmadığına değinilmediğini yazdı. Yetkililer verilerin yayımlandığına dair bir bulguya rastlamadıklarını söyledi.

Gazetenin aktardığına göre eyalet eğitim müsteşar yardımcısı Mary Nicely, yetkililerin olayın kapsamını ve etkisini belirlemek için diğer eyalet kurumlarıyla acil olarak çalıştığını yazdı. ETS sözcüsü Christine Betaneli ise kurumun düzenli olarak bağımsız denetimden geçen bir güvenlik programı yürüttüğünü, başka hiçbir ETS müşterisinin etkilenmediğini ve izleme ile erişim kontrollerinin güçlendirildiğini, ek bir bağımsız inceleme başlatıldığını söyledi.

Kimler etkileniyor?

Los Angeles Times'a göre ihlal 2023 kayıtlarına kadar uzandığı için California'nın bugünkü 5,7 milyon devlet okulu öğrencisinin de ötesine geçiyor. Başka bir okula nakli teyit edilmeden eyaletten ayrılan öğrenciler de etkileniyor ve bu kayıtlar 2006'ya kadar gidiyor.

Açığa çıkan bilgiler arasında isim, adres, engellilik kayıtları, sınıf düzeyi, doğum tarihi, okul ve bölge, öğrenci kimlik numarası, cinsiyet, ırk veya etnik köken, ana dil, doğum ülkesi, İngilizce öğrenen öğrenci statüsü ve düşük gelirli ailelere yönelik federal programlara uygunluk bilgisi bulunuyor. Yetkililere göre sosyal güvenlik, ehliyet ve pasaport numaraları, banka ve kart bilgileri, hesap parolaları ile veli bilgileri etkilenmedi.

Johns Hopkins Üniversitesi Bilgi Güvenliği Enstitüsü'nden Anton Dahbura gazeteye, çalınan tek bir parolanın milyonlarca öğrencinin kayıtlarına aylarca erişim sağlayan bir geçiş kartına dönüşmemesi gerektiğini söyledi.

Ne yapmalı?

Habere göre etkilenen eski öğrenciler, artık yetişkin olanlar dahil, 24 ay ücretsiz kimlik koruma ve kimlik hırsızlığı durumunda destek hizmetinden yararlanabilecek. Yetkililer 16 yaşından küçük çocukların velilerine ücretsiz kredi dondurma talep etmeyi önerdi. Aileler, ETS, eyalet veya kredi izleme şirketi adına geldiğini iddia eden beklenmedik e-posta, arama ve mesajlara karşı uyarıldı; bu tür taleplere sosyal güvenlik numarası, parola veya finansal bilgi verilmemesi istendi.

Kurumlar açısından olay, toplu veriye erişen yüklenici hesaplarında çok faktörlü kimlik doğrulama, büyük dosya aktarımlarında anormallik izleme ve düzenli erişim gözden geçirmesinin önemini bir kez daha gösteriyor.