Princeton'daki ETS yerleşkesinin girişindeki ETS logolu karşılama tabelası (temsili)

Kaliforniya'da eyalet sınavlarını yürüten kar amacı gütmeyen Educational Testing Service (ETS) kuruluşunun, Kaliforniya Eğitim Bakanlığı (CDE) ile veri paylaştığı güvenli dosya aktarım (SFTP) sitesine yetkisiz erişim sağlandı. Ele geçirilmiş bir oturum açma kimlik bilgisiyle 22 Mayıs ile 18 Eylül 2026 tarihleri arasında sisteme girildiği ve en az son üç öğretim yılında kayıtlı tüm öğrencilerin bilgilerinin kopyalandığı, 16 Ekim 2026'da başlayan resmi bildirimle açıklandı.

Devlet okullarındaki CAASPP ve ELPAC sınav programlarını yürüten ETS, dosya aktarım ortamındaki şüpheli etkinliği 25 Eylül 2026'da tespit etti. İlgili hesabı devre dışı bırakan ve eski SFTP sitesini kapatan kuruluş, dış siber güvenlik uzmanlarıyla soruşturma başlattı.

Hangi bilgiler etkilendi

Kopyalanan dosyalar, kişiye göre değişmekle birlikte öğrenci adı, doğum tarihi, ev adresi, okul, bölge, sınıf düzeyi, eyalet öğrenci kimlik numarası (SSID), yerel öğrenci numarası, cinsiyet, ırk ve etnik köken bilgilerini içeriyor. Veriler arasında ana dil, doğduğu ülke, İngilizce yeterlik durumu, engellilik ve Section 504 kayıtları, sınav uyarlamaları, Title I ve McKinney-Vento gibi destek programlarına uygunluk ile sınav kayıt ve sonuçları da yer alıyor.

CDE bildirimine göre kopyalanan kayıtlarda sosyal güvenlik numarası, sürücü belgesi numarası, pasaport bilgisi, finansal hesap veya banka kartı verileri ile hesap parolaları bulunmuyor. Veli ve vasilere ait kişisel bilgiler de olaya dahil olmadı.

Soruşturma ve önlemler

Olayın ardından eski SFTP sunucusunu tamamen kapatan ETS, gelişmiş güvenlik denetimlerine sahip yeni bir sistem kurdu. ETS, düzenli web taramalarında kopyalanan bilgilerin şu ana kadar yayımlandığına dair bir kanıt bulmadığını açıkladı. Olay kolluk birimlerine bildirildi. Kaliforniya Siber Güvenlik Entegrasyon Merkezi (Cal-CSIC) adli inceleme ve olay müdahalesine destek veriyor; Kaliforniya Teknoloji Dairesi (CDT) ile Valilik Acil Durum Hizmetleri Ofisi (Cal OES) de sürece katkı sağlıyor. CDE ve Eyalet Eğitim Kurulu (SBE), ETS'nin veri güvenliği ve sözleşme yükümlülüklerine uyup uymadığını da inceliyor.

Öğrenci verilerini etkileyen bir başka olay: Avustralya'da Victoria Eğitim Bakanlığı'nın öğrenci verisi ihlali.

Aileler ne yapmalı

ETS, etkilenen mevcut ve eski öğrencilere Experian IdentityWorks üzerinden 2 yıl ücretsiz kimlik koruma hizmeti sunuyor. Hizmete kayıt için son tarih 19 Mart 2027 olarak belirlendi ve kayıt sırasında kredi kartı bilgisi istenmiyor. Yetkililer, okulu veya eyalet sınavlarını öne sürerek kişisel bilgi talep eden beklenmedik telefon, kısa mesaj ve e-postalara karşı dikkatli olunması gerektiğini hatırlatıyor.

Saldırganın kimliği ve giriş bilgisinin nasıl ele geçirildiği resmi duyurularda yer almıyor. Reuters'ın aktardığı CDE verilerine göre Kaliforniya'da 2025–2026 öğretim yılında 5,7 milyondan fazla öğrenci kayıtlıydı. Bu rakam etkilenen kişi sayısı değil; ihlalden etkilenen kesin öğrenci sayısı açıklanmadı.

Kaynaklar

Kapak görseli (temsili): ETS'nin Princeton'daki (New Jersey) karşılama tabelası; olay Kaliforniya'daki öğrenci verilerini kapsıyor — Educational Testing Service / Wikimedia Commons, CC BY-SA 4.0 (1200×675 kırpıldı).