米カリフォルニア州の生徒情報が大量流出、委託先ETSの認証情報を悪用―直近3学年と2006年以降の元在籍者も対象

米カリフォルニア州教育省（CDE）は2026年10月16日、州の学力・英語能力評価を受託するEducational Testing Service（ETS）が運用するファイル転送サイトへの不正アクセスにより、児童生徒の個人情報が外部にコピーされたと公表しました。攻撃者は侵害されたログイン認証情報を使い、5月22日から9月18日までの期間に繰り返しアクセスしていました。直近3学年の在籍者を含む広範な記録が対象で、一部の元在籍者は2006年までさかのぼります。影響人数の確定値は公表されていません。住所・学校・障害情報などが含まれることから、詐欺やなりすましだけでなく、個人の特定や身体的な安全への影響にも注意が必要です。

カリフォルニア州・ETS不正アクセスのサマリー

• 公表主体は米カリフォルニア州教育省（CDE）。10月16日、ETSによる個人情報流出の通知開始を発表しました。
• 被害を受けたのは、州とETSが学力評価などの情報を交換するために利用していたSFTP（安全なファイル転送プロトコル）サイトです。
• 第三者が侵害されたログイン認証情報を使用し、2026年5月22日～9月18日に生徒情報を含むファイルへアクセスしてコピーしました。
• ETSが不審な動きを検知したのは9月25日です。該当アカウントを無効化し、SFTPサイトを停止しました。
• 直近3学年の全在籍者を含む記録が対象です。2023年以降の在籍者に加え、2006年以降に州内の学校を離れ、転校確認がない一部の元在籍者も含まれます。
• 氏名・生年月日・住所だけでなく、学校・学年、障害や教育上の配慮、英語能力、試験結果などが対象になり得ます。ただし、全員について全項目が含まれるわけではありません。
• 社会保障番号、免許証・旅券番号、口座・カード情報、アカウントのパスワード、保護者の個人情報は対象に含まれていないと説明しています。
• 10月16日に本人・家族への通知を開始し、11月上旬まで継続する予定です。対象者には2年間の無料の本人確認・不正利用監視サービスを提供します。
• 流出情報とSNS上の写真などが組み合わされると、なりすまし、性的ディープフェイク、脅迫、つきまといなどの二次被害が考えられます。ただし、本件に伴うこうした被害の発生が確認されたわけではありません。

盗まれた認証情報でSFTPサイトに約4か月間アクセス

ETSは、州内の公立学校に在籍する生徒を対象に、州・連邦制度に基づく評価業務を支援する非営利の試験・評価機関です。担当するプログラムには、学力評価「CAASPP」や英語能力評価「ELPAC」が含まれます。事件が起きたサイトは、ETSとCDEの間で評価関連データをやり取りするためのものでした。

CDEの通知によると、攻撃者は正規のログイン認証情報を悪用して繰り返しファイルへアクセスしました。9月25日の異常検知後に行われた調査で、最初の不正アクセスが5月22日までさかのぼることが分かりました。認証情報がどのような方法で侵害されたかについて、州の公式資料は具体的な取得経路を示していません。

CDEは10月2日、学校区の教育長やチャータースクール管理者へ事案を通知。ETSによる通常の在籍情報処理と、一部の試験関連業務が安全性の確認中に停止したと説明しました。その後、10月16日から対象となる生徒・家族への通知を開始しています。

氏名・住所に加え、障害情報や試験結果も影響対象

公式資料が挙げた情報の種類は次のとおりです。

個々の児童生徒について含まれる項目は異なります。CDEは、データが第三者にコピーされたことを認めていますが、定期的なWeb監視では、10月16日の発表時点で情報が一般公開された証拠は見つかっていないとしています。外部への持ち出し確認と、不特定多数への公開の有無は区別する必要があります。

2006年以降の元在籍者にも影響、対象人数は未公表

公式FAQによれば、影響対象には2023年から現在までにカリフォルニア州の公立学校へ在籍した生徒のほか、2006年以降に州内の学校を離れ、別の学校への転校をCDE側で確認できていない人も含まれます。すでに成人した元生徒も対象になる可能性があります。

直近3学年にわたる州全体の生徒データが対象となるため、米国メディアでは数百万人規模と報じられています。一方、州・ETSは影響を受けた重複を除く人数の確定値を公表していません。年度別在籍者数を合計した数字を、そのまま漏えい人数として扱うことはできません。

流出した児童生徒の情報が悪用されるリスク――性的ディープフェイク、誘拐を装う詐欺、現実の接触も

今回の対象情報には、氏名や生年月日だけでなく、自宅住所、学校名、学年、障害・支援区分などが含まれ得ます。これらの情報は単独で悪用される場合に加え、SNSのプロフィールや公開写真、別の漏えいデータと結び付けられることで、特定の児童生徒を狙った働きかけに使われるおそれがあります。

以下は流出項目と米国当局の注意喚起を踏まえた一般的なリスクの整理です。

※ETSの今回の事件で、性的ディープフェイクの作成、脅迫、誘拐、つきまといが発生したと確認されたものではありません。 また、流出したデータに顔写真・動画、保護者の個人情報、社会保障番号（SSN）が含まれていたとの発表もありません。

米連邦捜査局（FBI）は、未成年者の普通の写真が生成AIなどで性的な画像に改変され、嫌がらせや金銭要求に使われる事例を警告しています。2025年には、SNSから入手した家族写真を加工し、本人を拘束しているかのように見せかける「バーチャル・キドナッピング」型の恐喝についても注意喚起しました。これは実際の連れ去りと異なる犯罪ですが、保護者にとって切迫した脅威として作用します。

また、障害や住居支援に関する情報は、本人が意図せず周囲に知られた場合の不利益が、一般的な連絡先情報より深刻になり得ます。これらの情報については、通常の本人確認・信用監視サービスだけでは防ぎきれない被害も想定されます。

保護者と学校が確認したい安全対策

本人・家族向けの公式通知を確認したうえで、デジタル上の対処と現実の安全確保を分けて検討できます。

• 公式通知の確認： ETSやCDEを装ったメール・電話・偽の本人保護サイトに注意し、申請や問い合わせはCDEの公式インシデント案内から確認する。本人保護サービスの申込時にカード情報は不要とされています。
• 公開情報の点検： 子どもの氏名、学校名、写真、現在地、日常の行動パターンが一度に分かるSNS投稿や公開プロフィールを見直す。学校関係のグループや家庭内でも、不必要な位置情報の公開を避ける。
• 不審な連絡への対応： 学校・試験機関の担当者や同級生を名乗る相手でも、個人情報の追加提供や写真送信を求められたら、学校の既知の連絡先から別経路で確認する。脅迫や性的画像の要求には応じず、保護者や学校、警察へ相談する。
• 性的ディープフェイクへの対処： 不正な画像・脅迫を発見した場合は、投稿先ややり取りのURL、アカウント名、日時などを記録し、プラットフォームと米国の児童保護窓口CyberTiplineに通報する。未成年者の性的画像は安易に転送・再掲載しない。NCMECのTake It Downも利用できる場合があります。
• 身体的安全の確認： 具体的な脅迫、不審な来訪や待ち伏せがあった場合は学校と現地警察に伝え、通学・迎えの手順や緊急連絡方法を確認する。見知らぬ人が住所や学校を知っていると話しても、それだけで信用させない。
• 誘拐を装う連絡への対応： 身代金の要求を受けた場合、相手の主張をそのまま信じず、子ども本人や学校などへ既知の連絡先で安否を確かめ、緊急性に応じて警察へ通報する。

これらは今回の流出に関する被害発生を示すものではなく、流出したデータが他の情報と結び付けられた場合に備えるための対応です。被害情報が不特定多数に公開された証拠は、10月16日のCDE発表時点では確認されていません。

ETSは対象サイトを停止、州は通知と本人保護サービスを開始

ETSは侵害されたアカウントを無効化するとともに、対象のSFTPサイトを停止しました。現在はセキュリティ対策を強化した新しい転送サイトを構築し、外部の専門家と調査を進めています。

CDEと州教育委員会（SBE）は、州のサイバーセキュリティ機関などと連携して影響の確認や通知を進めています。また、ETSのデータ保護・契約上の要件への対応状況も検証しています。

影響を受けた在校生と元在校生には、Experian IdentityWorksによる24か月間の本人情報監視・不正利用対策サービスを無料提供します。未成年者向けと18歳以上向けで申込方法が異なり、利用には案内に従った登録が必要です。登録時にクレジットカード情報は不要と案内されています。

案内が届かないことだけで影響対象外と判断することはできません。本人・家族向けの公式FAQと通知は、CDEのインシデント情報ページで確認できます。

教育機関と委託先管理者が確認したいこと

今回の事案では、外部委託先にある情報交換用のアカウントが侵害され、長期間にわたり正規の認証経路を通じて大量のデータがコピーされました。教育機関や同様のファイル転送基盤を利用する組織では、委託契約・運用設計の中で以下を確認できます。

• 委託先が保持する生徒・顧客情報の範囲と、退学・転校・契約終了後の保存期間
• ファイル転送用アカウントの権限、共有利用の有無、使用期限と棚卸し状況
• SFTPや管理用画面への接続元制限、適用可能な認証強化策、鍵・パスワードの更新手順
• 正規アカウントによる大量ダウンロードや通常時間外アクセスを検知できるログ・アラート
• 委託先で侵害が発生した際のログ提供、通知期限、停止・代替運用、本人通知の分担

多要素認証の基本的な考え方は多要素認証（MFA）とはで解説しています。ただし、今回のSFTPサイトでMFAが導入されていたかどうかは公式資料では示されていません。日本国内の委託先管理や個人データ保護の点検については、個人情報保護委員会による大規模情報漏えい対策の注意喚起も参考になります。

出典

• ETS Begins Notifying California Students and Families Following Data Security Incident（2026年10月16日）―California Department of Education
• Educational Testing Service (ETS) Notification／Notice of Data Breach（2026年10月16日）―California Department of Education・ETS
• Educational Testing Service (ETS) Incident／FAQ（2026年10月16日）―California Department of Education
• Educational Testing Service (ETS) Incident Letter（2026年10月2日）―California Department of Education
• Malicious Actors Manipulating Photos and Videos to Create Explicit Content and Sextortion Schemes（2023年6月5日）―FBI／IC3
• Child Sexual Abuse Material Created by Generative AI and Similar Online Tools is Illegal（2024年3月29日）―FBI／IC3
• Criminals Using Altered Proof-of-Life Media to Extort Victims in Virtual Kidnapping for Ransom Scams（2025年12月5日）―FBI／IC3
• Stay Safe Online: Kids and Teens ― FBI
• How To Protect Your Child From Identity Theft ― Federal Trade Commission
• Generative AI ― National Center for Missing & Exploited Children