สรุปสั้น

กระทรวงศึกษาธิการรัฐแคลิฟอร์เนีย (California Department of Education หรือ CDE) แจ้งว่าข้อมูลส่วนบุคคลของนักเรียนโรงเรียนรัฐทั้งปัจจุบันและอดีตถูกคัดลอกออกจากเว็บ SFTP ของ Educational Testing Service (ETS) องค์กรไม่แสวงกำไรที่รับจ้างจัดสอบระดับรัฐและระดับรัฐบาลกลาง รวมถึงโครงการ CAASPP และ ELPAC ของแคลิฟอร์เนีย และใช้เว็บ SFTP นี้แลกเปลี่ยนข้อมูลการสอบกับ CDE ผู้บุกรุกใช้บัญชีที่รหัสผ่านถูกขโมย (compromised credential) เข้าออกเป็นระยะตั้งแต่ 22 พฤษภาคมถึง 18 กันยายน 2569 ก่อนที่ ETS จะตรวจพบกิจกรรมผิดปกติเมื่อ 25 กันยายน หรือเกือบ 4 เดือนหลังการเข้าถึงครั้งแรก

ประกาศไม่ระบุจำนวนผู้เสียหาย แต่ระบุว่าข้อมูลครอบคลุม “นักเรียนทุกคนที่ลงทะเบียนใน 3 ปีการศึกษาที่ผ่านมา” ขณะที่ตัวเลขของ CDE เองระบุว่าปีการศึกษา 2568-2569 มีนักเรียนโรงเรียนรัฐกว่า 5.7 ล้านคน และขยายไปถึงนักเรียนที่ออกจากโรงเรียนตั้งแต่ปี 2549 ที่ยังไม่ได้ยืนยันการย้ายโรงเรียน บางรายการมีข้อมูลอ่อนไหว เช่น สถานะความพิการ ผลสอบ และสถานะเด็กไร้บ้าน แต่ไม่มีเลขประกันสังคม รหัสผ่าน หรือข้อมูลการเงิน ETS ปิดบัญชีที่ถูกใช้และถอดเว็บ SFTP ออฟไลน์แล้ว

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 19 ตุลาคม 2569 ว่า ประกาศของ CDE ระบุว่า “การสอบสวนพบว่าบุคคลที่ไม่ได้รับอนุญาตใช้ข้อมูลล็อกอินที่ถูกขโมยในหลายช่วงเวลาระหว่าง 22 พฤษภาคม 2569 ถึง 18 กันยายน 2569 เพื่อเข้าถึงเว็บ SFTP และคัดลอกไฟล์ที่มีข้อมูลนักเรียนแคลิฟอร์เนีย”

ข้อมูลที่อาจรั่วประกอบด้วยชื่อนักเรียน วันเกิด ที่อยู่ โรงเรียน เขตการศึกษา ระดับชั้น รหัสประจำตัวระดับรัฐและท้องถิ่น เพศ เชื้อชาติหรือชาติพันธุ์ ภาษาหลัก ประเทศต้นทาง และสถานะผู้เรียนภาษาอังกฤษ บางรายการลึกกว่านั้น ได้แก่ สถานะความพิการและ Section 504 ประเภทความพิการหลัก การปรับวิธีสอบ ข้อมูลความสามารถภาษาอังกฤษ การลงทะเบียนและผลสอบ รวมถึงสถานะตามโครงการ Title I, McKinney-Vento (เด็กไร้บ้าน) หรือนักเรียนในครอบครัวทหาร ส่วนข้อมูลผู้ปกครองไม่เกี่ยวข้อง

CDE แจ้งผู้อำนวยการเขตการศึกษาระดับเคาน์ตีและเขต รวมถึงผู้บริหารโรงเรียนชาร์เตอร์ ผ่านจดหมายลงวันที่ 2 ตุลาคม 2569 สองสัปดาห์ก่อนเริ่มแจ้งครอบครัว ตามจดหมายนั้น ETS หยุดประมวลผลข้อมูลการลงทะเบียนตามปกติและระงับงานสอบบางส่วนระหว่างประเมินความปลอดภัยของระบบ การแจ้งนักเรียนเริ่มเมื่อ 16 ตุลาคม 2569 และคาดว่าจะทยอยถึงต้นพฤศจิกายน ผู้ได้รับผลกระทบลงทะเบียนรับบริการคุ้มครองตัวตนฟรี 2 ปีได้

วิธีการโจมตี

เท่าที่เปิดเผย การบุกรุกครั้งนี้ไม่ได้อาศัยช่องโหว่ซอฟต์แวร์ แต่ใช้ข้อมูลล็อกอินที่ถูกต้องของบัญชีหนึ่งบนเว็บ SFTP ที่ ETS ใช้แลกเปลี่ยนข้อมูลการสอบกับรัฐ ผู้บุกรุกเข้าออกเป็นช่วง ๆ ตลอดเกือบ 4 เดือนเพื่อคัดลอกไฟล์ โดยไม่ถูกตรวจพบจนถึง 25 กันยายน ซึ่งเป็นสัปดาห์หลังการเข้าถึงครั้งสุดท้าย ลักษณะนี้บ่งชี้ว่าบัญชีดังกล่าวน่าจะไม่มีการยืนยันตัวตนหลายปัจจัย หรือไม่มีการเฝ้าระวังพฤติกรรมการดาวน์โหลดที่ผิดปกติ แต่ประกาศทางการไม่ได้ยืนยันประเด็นนี้

ข้อจำกัดของหลักฐาน: ประกาศไม่อธิบายว่ารหัสผ่านหลุดได้อย่างไร (เช่น infostealer, ฟิชชิง หรือรหัสผ่านซ้ำ) และไม่ระบุตัวผู้โจมตี ETS ระบุเพียงว่าทำงานร่วมกับหน่วยงานบังคับใช้กฎหมายและผู้เชี่ยวชาญ “เพื่อลดความเสี่ยงที่ข้อมูลจะถูกเผยแพร่สู่สาธารณะ” โดยไม่ขยายความ และการเฝ้าระวังเว็บยังไม่พบว่าข้อมูลถูกนำไปเผยแพร่

ผลกระทบ

ขนาดของเหตุการณ์อยู่ในระดับหลายล้านคน และกลุ่มผู้เสียหายเป็นผู้เยาว์เกือบทั้งหมด ข้อมูลอย่างชื่อ วันเกิด ที่อยู่ และรหัสนักเรียน เพียงพอสำหรับการขโมยตัวตนของเด็กซึ่งมักไม่ถูกตรวจพบจนเด็กโตพอจะขอสินเชื่อ ขณะที่ข้อมูลความพิการ สถานะเด็กไร้บ้าน และประเทศต้นทาง เป็นข้อมูลอ่อนไหวที่อาจนำไปใช้ข่มขู่หรือแบล็กเมล์ครอบครัวได้ แม้จะไม่มีข้อมูลการเงินก็ตาม

เหตุการณ์นี้ยังสะท้อนความเสี่ยงจากผู้รับจ้างภายนอก หน่วยงานรัฐส่งข้อมูลนักเรียนทั้งรัฐให้ผู้รับจ้างผ่านช่องทางแลกเปลี่ยนไฟล์เพียงจุดเดียว เมื่อบัญชีเดียวรั่ว ข้อมูลย้อนหลังหลายปีก็หลุดไปทั้งก้อน และกระทบการดำเนินงานด้วย เพราะ ETS ต้องหยุดประมวลผลข้อมูลและระงับงานสอบบางส่วน

คำแนะนำ

  • บังคับ MFA หรือใช้ key-based authentication สำหรับบัญชี SFTP/MFT ทุกบัญชี โดยเฉพาะบัญชีที่ใช้แลกเปลี่ยนข้อมูลกับหน่วยงานภายนอก
  • จำกัด IP ต้นทางที่เข้าถึงเว็บ SFTP ได้ และหมุนเวียนรหัสผ่านหรือกุญแจของบัญชี service เป็นระยะ
  • เฝ้าระวังปริมาณและรูปแบบการดาวน์โหลดไฟล์ เช่น การเข้าถึงนอกเวลาปกติ หรือดาวน์โหลดไฟล์จำนวนมากผิดปกติ ตั้งการแจ้งเตือนอัตโนมัติ
  • ลดข้อมูลที่ค้างบนเซิร์ฟเวอร์แลกเปลี่ยนไฟล์ ลบไฟล์ทันทีหลังรับส่งเสร็จ และไม่เก็บข้อมูลย้อนหลังหลายปีไว้ในจุดเดียว
  • ระบุข้อกำหนดด้านความปลอดภัย (MFA, การเก็บล็อก, เวลาแจ้งเหตุ) ในสัญญากับผู้รับจ้างที่ถือข้อมูลส่วนบุคคล และตรวจสอบเป็นประจำ
  • ตรวจหาบัญชีที่ข้อมูลล็อกอินอาจรั่วจาก infostealer ด้วยบริการเฝ้าระวัง credential leak

แหล่งอ้างอิง