米国の学校向け校務ソフトの会社で、サポート用アカウントの認証情報を使った攻撃者により、各学区の生徒と教職員のデータが漏洩

何が起きたか

この事故で流出した、または流出したおそれがある情報は、氏名、連絡先、生年月日、一部の医療上の注意事項、社会保障番号など（学区ごとに異なる）。人数は会社が確認しておらず、攻撃者は生徒約6,249万人・教職員約951万人分と主張したです。その後の対応と影響は、外部の調査会社と調べ、身代金を支払った。対象者に2年間の個人情報保護とクレジット監視を無償で提供し、電話窓口を置き、州の司法長官へ届け出た。2025年5月には、同じデータを使って複数の学区が脅迫されたです。

原因になったのは「顧客サポート用ポータルのアカウント1つの認証情報」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

会社によると、攻撃者は顧客サポート用のポータルに漏れた認証情報1つでログインした。その認証情報がどのように漏れたかは公表されていない。

原因の種類は「認証情報の漏れ」です。IDやパスワードが漏れ、なりすましで入られた事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は28件あります。

事故が起きてから公表されるまで

1. 2024年12月28日、会社が不正アクセスに気づいた。
2. 2025年1月7日、会社が顧客の学区へ通知した。
3. 2025年1月22日、攻撃者の脅迫文に約7,200万人分と書かれていたと報道された。
4. 2025年5月、同じデータを使った学区への脅迫が起きた。

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

サポートや保守の担当者が使うアカウントに多要素認証を必須にし、普段と違う大量の書き出しを検知する設定があれば、持ち出しを早く止められた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 外部の業者や自社のサポート担当が、顧客データに触れられるアカウントを一覧にする。
2. その一覧の全アカウントで、多要素認証が必須になっているかを管理画面で確かめる。
3. データの一括書き出しの記録が残り、通常より多い時に通知が来るかを試す。

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• PowerSchool SIS Incident（当事者の公表ページ）2025.01.13
• PowerSchool hacker claims they stole data of 62 million students（BleepingComputer）2025.01.22