美国加州教育部（CDE）10 月 16 日披露一起影响面极大的数据泄露：为该州提供全州统考服务的承包商 Educational Testing Service（ETS），其用于在州级测评项目之间交换数据的 SFTP 站点被攻破，约 570 万名在读学生的个人与测评档案被复制。ETS 已于 10 月 16 日起分批通知受影响家庭，并提供两年身份保护服务。
事件概述
ETS 承担加州学生表现与进步评估（CAASPP）以及加州英语能力评估（ELPAC）的运营支持。9 月 25 日，ETS 发现该 SFTP 站点出现未授权活动，随即下线并联合外部安全团队调查。调查结论是：攻击者使用一个被窃取的登录凭据进入站点，在 5 月 22 日至 9 月 18 日之间复制了包含加州学生信息的文件。也就是说，从首次入侵到被发现，窗口长达近四个月。
CDE 表示，被访问的数据涵盖此前三个学年的在读学生，且无论学生是否参加过州级测评都在范围内；2025-26 学年加州公立学校在读人数超过 570 万。ETS 已重建新的文件交换站点，目前未发现数据被公开。
技术细节：没有漏洞，只有凭据
这起事件不属于软件漏洞利用，攻击面是一个「合规但脆弱」的设计：州教育部门与承包商之间用 SFTP 交换批量学生档案，访问控制完全依赖账号口令。一旦凭据泄露——无论来自钓鱼、复用还是终端失陷——攻击者就获得了与合法数据交换方相同的批量读取权限，且行为在业务层面看起来完全正常。
泄露字段的颗粒度值得注意：姓名、出生日期、住址、学区与年级、性别、种族与族裔、母语、出生国、英语学习者状态、残障与 504 条款状态、Title I 等项目资格、英语能力等级，以及全州学号（SSID）与测评注册、参与和成绩记录。这是一份足以完成身份画像与精准社工的组合，尤其是残障状态与低收入资格这类敏感属性。
未涉及的字段包括社会安全号、驾照号、金融账户、账号口令，以及家长与监护人的个人信息（家庭住址除外）。这也是官方判断风险相对可控的主要依据。
影响评估
对学生而言，短期内最现实的风险不是资金被盗，而是精准钓鱼：冒充学区、考试机构或身份保护服务商的邮件与电话，会以「核对测评记录」「领取免费身份保护」为由索取更多信息。CDE 与 ETS 都已声明不会通过电话、短信或邮件索要口令、社会安全号与付款信息。
对机构而言，这起事件把第三方数据交换环节的老问题再次摆到台面上：合同里的安全条款是否可核查、批量导出是否有行为基线与告警、长期不用的交换账号是否及时回收。CDE 也已表示正在审查 ETS 是否履行了合同中的数据安全要求。
修复建议
- 受影响家庭：留意 10 月 16 日起至 11 月初的通知函，凭通知中的代码在 2027 年 3 月 19 日前激活 Experian IdentityWorks；未成年人与成年人使用不同代码；
- 对「已通知」保持警惕：未收到通知不代表数据安全，可直接致电 833-931-8488 或用 CDE 的专项页面自查；
- 机构侧：对批量数据交换账号强制多因子认证与来源 IP 白名单，为导出行为设置量级基线告警，凭据轮换周期不超过 90 天；
- 把 SFTP、对象存储预签名链接这类「低技术门槛、高数据密度」的通道纳入同一套审计，而不是只盯应用层漏洞。