Một tài khoản bị xâm nhập làm lộ dữ liệu hàng triệu học sinh California

Một vụ xâm nhập tưởng chừng đơn giản nhưng lại phơi bày dữ liệu cá nhân của hàng triệu học sinh tại California. Kẻ tấn công chỉ cần một thông tin đăng nhập bị đánh cắp để truy cập vào hệ thống truyền tệp của Educational Testing Service (ETS) và sao chép hồ sơ học sinh trong nhiều tháng trời mà không bị phát hiện.

Minh họa về dữ liệu giáo dục bị xâm phạm

Diễn biến vụ việc

Theo thông báo vi phạm dữ liệu của Sở Giáo dục California (CDE), ETS — tổ chức phi lợi nhuận chịu trách nhiệm triển khai các kỳ thi bắt buộc theo quy định của tiểu bang và liên bang — đã phát hiện hoạt động trái phép trên máy chủ SFTP của mình vào ngày 25/9. Tuy nhiên, thời điểm truy cập sớm nhất được xác định là từ cuối tháng 5.

"Quá trình điều tra xác định rằng một bên không được phép đã sử dụng thông tin đăng nhập bị xâm phạm vào nhiều thời điểm trong giai đoạn từ ngày 22/5/2026 đến ngày 18/9/2026 để truy cập máy chủ SFTP và sao chép các tệp chứa thông tin học sinh California."

ETS hỗ trợ các chương trình đánh giá CAASPP và ELPAC của California, đồng thời dựa vào một trang SFTP bảo mật để chia sẻ dữ liệu thi với CDE. Chính kênh truyền tệp này đã trở thành điểm yếu bị khai thác.

Quy mô thiệt hại chưa từng có tiền lệ

Thông báo không nêu con số nạn nhân cụ thể, nhưng mô tả phạm vi ảnh hưởng rất rộng: thông tin của học sinh California, bao gồm nhưng không giới hạn ở toàn bộ học sinh đã theo học trong ba năm học gần nhất, đã bị truy cập và sao chép.

Để thấy mức độ nghiêm trọng, theo số liệu tuyển sinh của chính CDE, hơn 5,7 triệu học sinh đã theo học tại các trường công lập California trong năm học 2025-2026. Phần FAQ về sự cố của sở này còn cho biết nhóm bị ảnh hưởng mở rộng tới cả những học sinh đã rời trường ở California từ tận năm 2006, với điều kiện việc chuyển trường của họ chưa được xác nhận với CDE.

Các hồ sơ bị lộ có thể bao gồm:

• Họ tên, ngày sinh, địa chỉ nhà
• Trường, học khu và lớp học
• Mã số định danh của tiểu bang và địa phương
• Giới tính, chủng tộc hoặc sắc tộc, ngôn ngữ chính, quốc gia xuất xứ
• Tình trạng học tiếng Anh (English learner)

Một số bản ghi còn đi xa hơn, tiết lộ tình trạng khuyết tật và diện áp dụng Mục 504, loại khuyết tật chính, các điều chỉnh trong thi cử, dữ liệu trình độ tiếng Anh, cùng thông tin đăng ký và kết quả thi. Chúng cũng có thể cho biết học sinh có thuộc diện Title I, McKinney-Vento hay thuộc gia đình quân nhân hay không.

Điểm đáng chú ý là thông báo khẳng định các tệp bị lộ không chứa số An sinh xã hội, mật khẩu, thông tin tài khoản tài chính hay thẻ thanh toán, và cũng không liên quan đến dữ liệu của phụ huynh, người giám hộ.

Phản ứng của ETS và CDE

ETS đã vô hiệu hóa tài khoản mà kẻ xâm nhập sử dụng và đưa trang SFTP ngừng hoạt động. Tổ chức này cũng đang xây dựng một trang thay thế với các biện pháp bảo vệ chặt chẽ hơn.

"Sau khi làm việc với cơ quan thực thi pháp luật cũng như các chuyên gia an ninh mạng, ETS đã thực hiện các bước để giảm nguy cơ dữ liệu bị công khai."

ETS không giải thích chi tiết nhưng cho biết hệ thống giám sát web của họ đến nay chưa tìm thấy bằng chứng nào cho thấy dữ liệu đã bị công bố. Các công bố chính thức cũng không làm rõ thông tin đăng nhập bị xâm phạm như thế nào và không xác định danh tính kẻ tấn công.

Về phía CDE, sở này đã thông báo cho giám đốc các học khu, quận và quản lý trường charter trong một lá thư đề ngày 2/10 — tức hai tuần trước khi việc gửi thông báo tới các gia đình bắt đầu. Theo lá thư đó, ETS đã tạm dừng xử lý dữ liệu tuyển sinh định kỳ và đình chỉ một số công việc thi cử trong thời gian đánh giá an ninh hệ thống.

Chuyên gia an ninh mạng Eduard Kovacs

Việc gửi thông báo cho học sinh bắt đầu từ ngày 16/10 và dự kiến kéo dài đến đầu tháng 11. Những người bị ảnh hưởng, cả hiện tại lẫn trước đây, có thể đăng ký hai năm dịch vụ bảo vệ danh tính miễn phí.

Bài học cho các hệ thống giáo dục

Sự cố này là lời cảnh tỉnh về rủi ro của những kênh truyền dữ liệu tưởng như "nội bộ" và an toàn. Chỉ một thông tin đăng nhập bị đánh cắp là đủ để kẻ tấn công duy trì quyền truy cập gần bốn tháng mà không bị phát hiện — cho thấy tầm quan trọng của xác thực đa yếu tố, giám sát hành vi bất thường và nguyên tắc đặc quyền tối thiểu trong các hệ thống xử lý dữ liệu nhạy cảm.

Đối với Việt Nam, nơi dữ liệu học sinh ngày càng được số hóa và chia sẻ giữa các nền tảng quản lý giáo dục, cơ sở dữ liệu quốc gia về dân cư và các đơn vị vận hành thi, bài học này càng trở nên thiết thực. Việc rà soát quyền truy cập, mã hóa dữ liệu khi truyền tải và kiểm toán định kỳ các tài khoản dịch vụ dùng chung nên được xem là yêu cầu bắt buộc, không phải tùy chọn.