Ett dataintrång läcker miljontals elevuppgifter i Kalifornien

En dataintrångsskandal i Kalifornien visar återigen hur offentliga institutioner hanterar känsliga uppgifter om miljontals barn: med slarv, fördröjning och en självklarhet som borde väcka upprör. En hacker kopierade register över miljontals kaliforniska elever genom en komprometterad inloggning hos Educational Testing Service, den ideella entreprenör som hanterar bedömningsdata åt delstatens utbildningsdepartement. Först den 16 oktober började ETS underrätta berörda familjer, flera veckor efter att obehörig aktivitet upptäckts på en säker filöverföringstjänst som användes för att dela elevdata med Sacramento.

Intråget pågick från den 22 maj till den 18 september, enligt departementets underrättelse. Någon använde stulna inloggningsuppgifter för att kopiera filer som omfattar elever inskrivna under tre sammanhängande skolår, däribland det nuvarande med över 5,7 miljoner elever i Kalifornien. Det kopierade materialet innehåller namn, födelsedatum, adresser, skolor, årskurser, delstatens elevidentifierare, demografiska uppgifter, funktionsnedsättningsstatus och testresultat. Personnummer, kontouppgifter, lösenord och föräldrauppgifter var enligt departementet inte involverade — en liten tröst för dem vars hemadress och diagnos nu ligger i en främlings kopia.

ETS uppger att kontot stängts av, att tjänsten tagits offline, att externa cybersäkerhetsfirmas anlitats och att en ersättande lösning byggts med starkare kontroller. Departementet distribuerar nu ETS:s egen skadeunderrättelse till familjerna — översatt till 27 språk — och granskar om entreprenören uppfyllt sina säkerhets- och avtalsförpliktelser. Lägg märke till uppdelningen av ansvarsrollerna: den som orsakade läckan skriver också berättelsen om den, och granskas av den myndighet som valde att anlita den. Ingen betalar priset, åtminstone inte någon med makt.

Mönstret är bekant för Kaliforniens skoldistrikt. I september 2022 tog hackare sig åt cirka 2 000 känsliga elevregister i Los Angeles Unified, och en utpressningsgrupp publicerade datan efter att skolchefen Alberto Carvalho vägrat betala lösensumma. Long Beach Unified avslöjade en separat läcka av elevnummer, namn och e-postadresser.

I vart och ett av fallen samlades datan in av offentliga institutioner och exponerades genom de system som byggts för att förvalta den. Detta är det centrala problemet: när staten monopoliserar insamlingen av barns uppgifter och sedan delegerar förvaltningen till entreprenörer utan reella konsekvenser vid misslyckande, finns ingen som bär den verkliga kostnaden för slarv. En privat aktör som förlorade sina kunders förtroende — och deras data — skulle riskera att gå under. En delstatsentreprenör får i uppdrag att skriva en ursäkt, översätta den tjugosju gånger och granska sig själv. De elever vars funktionsnedsättningsstatus och adresser nu finns i någon annans kopia får bära exponeringen resten av livet.