משרד החינוך של קליפורניה והעמותה שמפעילה עבורו את מערך הבחינות המדינתי פרסמו בסוף השבוע שעבר הודעת דלף מידע שנוגעת כמעט לכל תלמיד במערכת החינוך הציבורית במדינה. בשנת הלימודים 2025/26 למדו שם למעלה מ‑ 5.7 מיליון תלמידים בכ‑ 1,000 מחוזות. ההודעה הרשמית מנסחת את ההיקף בלשון רחבה אף יותר: המידע שהועתק כולל, בין היתר, את כל התלמידים שהיו רשומים בשלוש שנות הלימודים הקודמות. לפי משרד החינוך של קליפורניה, כפי שדווח ב‑ Cybernews, נכללות בו גם רשומות של חלק מתלמידי העבר, עד שנת 2006.
הממשק שאף אחד לא חושב עליו
ETS הינה עמותה אמריקאית המפעילה בחוזה עם מדינת קליפורניה את מערכי הבחינות הסטטוטוריים – CAASPP ו‑ ELPAC. כדי שהמבחנים יתנהלו, מחליפים המדינה והספק ביניהם קבצים: רשימות תלמידים, הרשמות, התאמות בחינה ותוצאות. ההחלפה נעשית דרך אתר SFTP ייעודי, כלומר ממשק מאובטח להעברת קבצים שקיים בדיוק למטרה הזו.
ממשק כזה הוא יעד מצוין לתקיפת סייבר והדבר נכון לממשקי העברת קבצים בכלל: הם פועלים ברקע, לעיתים מול חשבון שאינו שייך לאדם מסוים אלא לתהליך. התוכן שעובר בהם אינו רשומה בודדת אלא קבצים שלמים. על החשבון שנפרץ באירוע הזה ההודעה אומרת רק ש‑ ETS ניטרלה אותו; סוגו ומועד פתיחתו לא פורסמו.
ארבעה חודשים חלפו בין הגישה הראשונה לזיהוי. לפי ההודעה הרשמית השתמש גורם בלתי מורשה בפרטי התחברות שנפרצו כדי להיכנס לאתר ולהעתיק ממנו קבצים במועדים שונים בין 22 במאי ל‑ 18 בספטמבר 2026. ETS זיהתה את הפעילות ב‑ 25 בספטמבר, ניטרלה את החשבון המעורב, הורידה את האתר מהאוויר והפעילה מומחי אבטחה חיצוניים. ההודעה לציבור יצאה ב‑ 16 באוקטובר.
מה היה בקבצים
ההודעה הרשמית מדגישה שההיקף משתנה מתלמיד לתלמיד. היא מפרטת מה עשויים הקבצים לכלול – רשימה שכדאי לקרוא לאט: שם התלמיד, תאריך לידה, כתובת מגורים, בית ספר, מחוז ושכבת גיל; מזהה תלמיד מדינתי (SSID) ומזהה מקומי; מגדר, מוצא אתני, שפת אם, ארץ מוצא וסטטוס לומד אנגלית; סטטוס מוגבלות, סטטוס סעיף 504, התאמות בחינה וסוג המוגבלות העיקרי; זכאות לתוכניות ובהן Title I על שני חלקיה, חוק McKinney-Vento לתלמידים ללא דיור קבוע ותוכנית לילדי משרתים בצבא; נתוני ההרשמה, ההשתתפות והציונים במבחנים המדינתיים, ככל שהיו.
קובץ שכולל את השדות האלה אינו רק מזהה ילד, הוא עשוי לסמן אותו: מי מתמודד עם מוגבלות ואיזו, מי אינו דובר אנגלית כשפת אם, מי חי ללא דיור יציב ומי ילד של משרת בצבא. מוגבלות ומוצא אתני מוגדרים ברגולציה במדינות רבות כמידע רגיש במיוחד. היתר אינם, אך הם מאפשרים בדיוק את אותו דבר: לאתר ולמקד אוכלוסייה פגיעה.
מה לא דלף ולמה זה לא מרגיע
ETS מדגישה שלא נגעו במספרי ביטוח לאומי, ברישיונות נהיגה, בדרכונים, בפרטי חשבונות פיננסיים, בכרטיסי אשראי ובסיסמאות. לפי ההודעה גם פרטיהם של הורים ואפוטרופוסים לא נכללו באירוע הסייבר. ETS מוסיפה שנקטה צעדים להקטנת הסיכון לפרסום המידע. לדבריה, עד כה, לאחר ניטור רשת שוטף, לא נמצאה אצלה עדות לכך שהמידע פורסם. זו הקלה אמיתית, אך היא חלקית בלבד.
מידע על קטין אינו מתיישן. ילד אינו יכול להחליף תאריך לידה, סוג מוגבלות או היסטוריית בית ספר. ETS מציעה שירותי הגנת זהות של Experian IdentityWorks לשנתיים, בשתי חבילות – לקטינים ולבגירים – עם מועד הרשמה אחרון ב‑ 19 במרץ 2027; קטינים שיגיעו לגיל 18 עד 19 במרץ 2029 יוכלו לעבור לחבילת הבגירים. שנתיים, מול רשומה שתלווה את הילד לכל חייו.
ההודעה עצמה מספקת את הרמז לגל הבא. היא קוראת למשפחות להיזהר מפנייה בלתי צפויה – בדואר אלקטרוני, במסרון או בטלפון – שמגיעה בשם בית הספר של הילד, בשם המבחנים המדינתיים או על רקע מתקפת הסייבר עצמה. בנוסף היא מזהירה מפני אתרי הגנת זהות מזויפים ומבקשת לבדוק כתובות אינטרנט לפני מסירת פרטים.
ההודעה מציינת שפרטיהם של ההורים עצמם לא נכללו באירוע. זה אינו מבטל את התרחיש אלא מסביר אותו: מי שמחזיק את שם הילד, את בית הספר ואת סוג ההתאמות שלו יכול להגיע להורה דרך הילד. הפנייה תישמע משכנעת לחלוטין. נכון למועד ההודעה לא נמצאה עדות לכך שהמידע פורסם. זה אינו ביטול הסיכון אלא תיארוך שלו: הקבצים נמצאים בידי גורם בלתי מורשה. השימוש בהם עוד לא נראה בשטח. המידע שהועתק הוא חומר הגלם למתקפת התחזות ממוקדת – מתקפה שמכוונת להורים, כלומר לעובדים בארגונים.
הסיכון האמיתי לארגון שלכם
האירוע הזה אינו סיפור על בית ספר. הוא סיפור על ממשק של ספק. שלושה לקחים עולים ממנו ישירות לכל ארגון שמעביר מידע לגורם חיצוני.
- פרטי התחברות של חשבון אחד הספיקו. כדי להיכנס לממשק לא היה צריך לנצל בו פגיעות – ההתחברות עצמה נראתה תקינה. המקורות אינם אומרים כיצד הגיעו פרטי ההתחברות לידי התוקף. הם גם אינם אומרים אם החשבון היה מוגן באימות דו‑שלבי. מה שהם כן מראים: גישה אחת שנראתה לגיטימית אפשרה הוצאת קבצים לאורך חודשים.
- ארבעה חודשים חלפו בלי התראה. התוקף נכנס שוב ושוב בין מאי לספטמבר. חריגה בממשק העברת קבצים – שעת גישה בלתי שגרתית, נפח חריג, כתובת מקור חדשה – היא בדיוק מה שניטור אמור לתפוס. כאן הזיהוי הגיע רק בשלב מאוחר מאוד.
- האחריות אינה עוברת עם הקובץ. את עמידת הספק בדרישות האבטחה ובהתחייבויות החוזיות בודקים בקליפורניה רק כעת, אחרי אירוע הסייבר. לצורך הטיפול גויסו מרכז הסייבר של המדינה, משרד הטכנולוגיה ורשות החירום. בדיקה כזו שווה הרבה יותר לפני החתימה מאשר אחרי הדליפה.
010 הגנת סייבר
סקר סיכונים. השאלה המעשית אינה אם יש לכם ספקים, אלא כמה ממשקים פעילים מחזיקים כרגע מידע שלכם, מי מחזיק פרטי התחברות לכל אחד מהם, מה היקף ההרשאה ומתי היא נבדקה לאחרונה. חשבונות שירות ותיקים, שנפתחו לצורך פרויקט שהסתיים, הם מהנקודות הראשונות שכדאי לבדוק.
SIEM/SOC. מה שידוע על ארבעת החודשים האלה הוא שהזיהוי איחר. אילו בקרות היו בממשק לפני האירוע, לא פורסם. ETS עצמה מדווחת שהוסיפה מאז ניטור מוגבר והקשחת הרשאות. ניטור מרכזי של ממשקי העברת קבצים ושל חשבונות שירות נועד להפוך גישה חריגה להתראה בזמן אמת ולקצר בדיוק את הפער הזה.
מניעת דלף מידע (DLP). באירוע הזה ההעתקה בוצעה בשרת של הספק. שם בקרה של הלקוח אינה חלה. מה ש‑ DLP כן עושה הוא בצד שלכם: להגדיר אילו קבצים של רשומות רגישות מותר להוציא בכלל, לאן ובאיזה נפח, כך שהעתקה חריגה מצטמצמת בהיקף ומקבלת סיכוי להתגלות מוקדם. אין בכך הבטחה למנוע אירוע כזה.
מודיעין סייבר. באירוע הזה לא פורסם כיצד נפרצו פרטי ההתחברות. לכן אי אפשר לדעת אם מודיעין היה מאתר אותם מראש. מה שכן נכון באופן כללי: פרטי התחברות של ארגונים ושל הספקים שלהם נסחרים ברשתות סגורות. התראה מוקדמת על פרט כזה מקצרת את חלון ההזדמנות של התוקף.
סינון דוא"ל ומודעות עובדים לסייבר. הגל השני אחרי דליפה כזו הוא התחזות שמשתמשת בפרטים אמיתיים – שם בית הספר, שם הילד, שם האירוע. ההודעה הרשמית מזהירה מדואר, ממסרונים ומשיחות טלפון; חלקם מגיעים לטלפון האישי ולא לתיבה הארגונית. סינון תעבורת הדואר חוסם את מה שנכנס לארגון; עובד שמכיר את התרחיש הוא מה שעומד מול השאר. שני אלו מצמצמים את הסיכון, לא מבטלים אותו.
ההודעה שקיבלו מיליוני משפחות בקליפורניה לא נולדה מפריצה לממשק. היא נולדה מכך שמישהו התחבר אליו עם פרטי התחברות תקפים שלא היו שלו. הוא המשיך לעשות זאת ארבעה חודשים עד שזוהה. כיצד הגיעו אליו פרטי ההתחברות – המקורות אינם אומרים. מה שכן ידוע: ממשק אחד מול ספק אחד הספיק. את עמידת הספק בחוזה ובדרישות האבטחה בודקים רק עכשיו, אחרי האירוע. שני אלו קיימים כמעט בכל ארגון.
למקור הידיעה ולקריאה נוספת לחצו כאן
