當地時間上周五（16日），美國加州官員證實，當地數百萬名學生的個人資料在一場針對非營利組織的駭客攻擊中外洩，該組織與加州教育部（CDE，California Department of Education）簽約合作。
綜合《POLITICO》與《洛杉磯時報》（The LA Times）報導，這起外洩事件的目標是教育考試服務中心（ETS），ETS是全球規模最大的非營利教育評量與測驗機構，主要負責管理標準化考試，包括托福（TOEFL）、多益（TOEIC）與GRE。ETS在全美及全球執行標準化測驗；在加州，它負責管理如「更聰明的平衡」（Smarter Balanced）考試與英語能力測驗等全州評估。
Hackers steal personal data of millions of California students in massive breach https://t.co/qEYIZauedF
— Los Angeles Times (@latimes) October 17, 2026
加州教育部表示，過去3個學年內所有就讀加州公立學校的700萬名學生的姓名、地址、人口統計資料與殘疾狀態均在此次外洩中曝光。官員指出，一名「未經授權的一方利用遭入侵的登入憑證」，在5月22日至9月18日間複製了包含學生資料的檔案。ETS直到9月25日才發現入侵，距離事件結束已過數日，州政府官員則於上周五開始通知學生與家長。
發現資料被取走後，該公司將存放資料的伺服器下線，並停用駭客所用的帳號。執法部門已接獲通報並展開調查。ETS發言人在聲明中表示，該公司「維持一套全面的資訊安全計畫」，並「持續投資於保護我們維護的系統與資料」。
外洩事件發生後，ETS已暫停處理註冊資料，以及「在評估其系統安全性期間的某些測驗活動」，加州教育部10月2日發送給各學區的信件中，僅通知他們發生有關「涉及ETS操作系統的事件」。加州教育部發言人在聲明中表示：「我們與加州學生及家庭共享關切」，「保護學生資訊是首要任務，我們期望承包商維持最高標準的資料安全與問責。我們對此事件極為重視，正與州網路安全專家合作，並審查ETS是否遵守其資料安全義務。我們的焦點是確保受影響的學生與家庭獲得所需資訊與資源，同時要求承包商對保護學生資料負責」。
🇺🇸 United States A hacker accessed personal data on millions of current and former California public school students through the state’s testing contractor. Educational Testing Service (ETS) discovered unauthorized access on 25 September. An investigation found a compromised login was used between 22 May and 18 September 2026 to copy files containing names, dates of birth, addresses, disability status and other demographic information for all students enrolled in the three previous school years more than 5.7 million currently enrolled, plus some former students. Social Security numbers and financial data were not taken. Notifications to families began on Friday. Affected students are being offered two years of free identity-protection services. ETS has not found evidence the data has been made public.
— ChaosLensX (@ChaosLensX) October 17, 2026
官員指出，遭竊資料不包括社會安全號碼、駕照、護照或金融帳戶資訊。父母與監護人的資料也未受影響。州政府官員表示，他們正「與州網路安全專家合作，評估對加州學生與家庭的影響，以便受影響個人獲得適當資訊與支援」。ETS也向受影響學生提供為期2年的身份盜竊防護服務。
上周五的宣布發生在今春另一起高調駭客事件之後，該事件導致Canvas學習管理系統關閉。Canvas是K-12學校、學院與大學常用的系統，用於指派作業、管理測驗與分享課程計畫。當時，Canvas母公司Instructure的領導階層選擇與名為ShinyHunters的駭客組織達成協議，以取回被竊資料。
這起攻擊發生之際，川普（Donald Trump）政府正因聯邦機構持續遭受網路攻擊而陷入困境，其中一起直接與Canvas攻擊有關。ShinyHunters上月聲稱，在入侵聯邦調查局（FBI）線上求職入口後，竊取了「幾乎所有」FBI人員的個人資訊。該網路犯罪集團在網上寫道，此次駭客行動是為了報復FBI在Canvas攻擊後發布的公共服務公告，該公告詳述了ShinyHunters的戰術與技術。
然而，隨著FBI持續調查此案，其他機構也遭到不同駭客攻擊。《POLITICO》率先報導，運輸部（Department of Transportation）一家安全機構聯絡中心遭網路攻擊；美國法院行政辦公室（Administrative Office of the U.S. Courts）上周四（15日）宣布，用於向聯邦法院報告與傳送破產通知的政府網站遭另一起網路攻擊干擾。此外，五角大廈仍在處理其人事紀錄組織的外洩事件，該事件曝光了數百萬人的資料。
