対象：カリフォルニア州の公立校に在籍している・在籍していた生徒の家族、成人した元生徒、生徒の記録を扱う学校やベンダー。本記事はカリフォルニア州司法長官に届け出られた（届出の組織名は州教育省＝CDE）ETSの「データ侵害のお知らせ」とCDEの発表にもとづく解説で、攻撃手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
カリフォルニア州の公立校に在籍している・在籍していた生徒の家族、成人した元生徒、生徒の記録を扱う学校やベンダー。
- 影響が確認された範囲表で見る ↓
- アクセスの期間
- 対象
- 氏名・生年月日・住所・学校・学区・学年
さらに5件
- SSID・学区の生徒ID
- 性別・人種や民族・言語・出身国・英語学習者の状況
- 障害と504の状況・テストの配慮・主な障害の種類
- 各制度の対象状況（Title I・McKinney-Vento・Military Connected）
- 英語の習熟度とテストの登録・受験・結果
- 未確認事項
- 影響を受けた生徒の人数
- 複製された記録がどこまでさかのぼるか
- ログイン情報が第三者の手に渡った経緯
さらに2件
- データが公開されることがあるか
- CDEと州教育委員会の検証の結果
- 今やること手順を見る ↓
- 通知が自分の子どもに当てはまる前提で動く
- 手紙のコードで無料のExperian IdentityWorksに登録する
- 学校やテストに触れることを理由に、電話やメールを信用しない
さらに2件
- 障害や配慮の情報を誰に話すかに気をつける
- 子どもの信用凍結は任意（お知らせは必須としていない）
- 最終確認日時
- 2026年10月31日時点
発表の続報予定と確認の記録
CDEは、追加の情報があればETS事案のページを更新するとしています。2026年10月31日時点で、ETSとCDEは人数を公表していません。CDEは、通知は10月16日に始まり、11月初めまで続く見込みとしています。
家族・元生徒が今日やること
通知が自分の子どもに当てはまる前提で動く
お知らせは、カリフォルニア州の生徒の情報（直近3学年に在籍した全生徒を含むが、それに限らない）が閲覧・複製されたとしています。ETSは州の公立校の生徒に州が求めるテストを実施しています。その期間に子どもが（または自分が）在籍していたなら、手紙が届く前でも対象と考えてください。
確かめるには、ブラウザに自分で入力したCDEのページ（cde.ca.gov/ets）を使うか、お知らせの電話番号（833-931-8488、月〜金の太平洋時間午前6時〜午後6時、米国の主な祝日を除く）にかけます。お知らせはCDEのページで複数の言語で読めます。
手紙のコードで無料のExperian IdentityWorksに登録する
ETSはExperian IdentityWorksを2年間無料で提供します。18歳未満の生徒は保護者が未成年向けに登録し、18歳以上になった元生徒は自分で成人向けに登録します。登録コードは手紙に書かれており、カード情報は求められません。
お知らせの本文は登録期限を2027年3月19日としています（成人向けの添付には2029年3月19日の記載もあります）。2029年3月19日までに18歳になる生徒は、18歳になった時点で成人向けに登録できます。ETSは偽の個人情報保護サイトに注意するよう呼びかけています。メールやSMSのリンクではなく、手紙に印刷されたExperianのアドレスを自分で入力してください。
学校やテストに触れることを理由に、電話やメールを信用しない
複製されたデータには、学校・学年・生徒ID・テストの結果が含まれる場合があります。それらを引用した連絡は本物らしく見えます。ETSは、生徒の学校、州のテスト、この事案に触れる予期しないメール・SMS・電話に注意し、求められても個人情報・パスワード・金融情報を渡さないよう呼びかけています。
子どもの情報の「確認」や支払いを求められたら、閉じて、学校や学区の公式サイトに載っている番号にかけ直してください（見分け方：フィッシングとは）。
障害や配慮の情報を誰に話すかに気をつける
データには、障害と504の状況、テストの配慮、主な障害の種類が含まれる場合があります。これらはパスワードのように変えられません。子どもの障害・支援計画・配慮に触れて先に連絡してくる相手（サービスの勧誘や記録の提出の依頼など）には注意し、何か渡す前に学校に確認してください。
子どもの信用凍結は任意（お知らせは必須としていない）
ETSは社会保障番号は含まれないとしています。それでもお知らせの一般的な案内は、16歳未満の子どもの信用情報をEquifax・Experian・TransUnionで無料で凍結できると説明しています。選べる予防策で、お知らせはこの事案で必要だとは書いていません。
何が起きたのか（ETSのお知らせより）
以下は、カリフォルニア州司法長官に届け出られた（届出の組織名はCDE）ETSの「データ侵害のお知らせ」と、2026年10月16日のCDEの発表にもとづきます。ETSは、カリフォルニア州と契約し、州の学力テスト（CAASPP）と英語力のテスト（ELPAC）を担う非営利のテスト団体です。
カリフォルニア州教育省（CDE）
ETSと州のテストの情報をやり取りする
↓→
ETSのSFTPサイト
第三者の手に渡ったログイン情報でアクセスされ、ファイルが複製された
↓→
生徒の記録
属性・制度・障害・テストのデータ
ログイン情報が第三者の手に渡った経緯は公表されていません。
2026年5月22日〜9月18日
ETSによれば、許可のない第三者がこの期間に何度か第三者の手に渡ったログイン情報を使い、CDEと州のテストの情報をやり取りするETSのSFTPサイトにアクセスして、カリフォルニア州の生徒の情報を含むファイルを複製しました。9月25日
ETSが不審な動きを確認。関係するアカウントを無効にし、SFTPサイトを停止して、外部のサイバーセキュリティの専門家とともに調査を始めました。10月16日
ETSがCDEの指示で生徒と家族への通知を開始。CDEが発表。カリフォルニア州司法長官の一覧には「CDE」の名前で、侵害日2026年5月22日の届出があります。11月初め（見込み）
CDEは、通知の送付は11月初めまで続く見込みとしています。
- 組織
- Educational Testing Service（ETS）。カリフォルニア州と契約し、公立校で州・連邦が求めるテストを実施する非営利団体
- システム
- CDEと州のテストの情報をやり取りするETSのSFTPサイト
- 対象
- カリフォルニア州の生徒の情報（直近3学年に在籍した全生徒を含むが、それに限らない）
- 項目（生徒により異なる）
- 氏名・生年月日・住所・学校・学区・学年、SSIDと学区の生徒ID、性別・人種や民族・主な言語・出身国・英語学習者の状況、障害と504の状況・テストの配慮・主な障害の種類、Title I（Part A・Part C）・McKinney-Vento・Military Connected Studentの対象状況、英語の習熟度の情報とテストの登録・受験・結果
- 含まれない（ETS）
- 社会保障番号、運転免許証・パスポートの番号、口座情報、クレジットカード・デビットカードの情報、アカウントのパスワード。保護者の個人情報も関係していない
- 公開の有無
- ETSは、定期的なウェブの監視で、現時点で情報が公開された証拠は見つかっていないとし、法執行機関・専門家とともにその危険を下げる措置をとったとしている
- 対応
- アカウントの無効化、サイトの停止、より強いセキュリティ対策を備えた新しいSFTPサイトの構築、法執行機関への通知
- 州の対応
- CDEと州教育委員会（SBE）が州のサイバーセキュリティの専門家と影響を評価し、州のサイバーセキュリティ統合センターがフォレンジックを支援。CDEとSBEは、事案と、ETSがデータセキュリティと契約の要件を守っていたかも検証している
分かっていること・分かっていないこと
2026年10月31日時点の状態です。ETSやCDEが続報を出したら状態欄を書き換えます。
| 項目 | お知らせの内容 | 状態 |
|---|---|---|
| アクセスの期間 | 2026年5月22日〜9月18日の間に何度か、第三者の手に渡ったログイン情報が使われた | 確定（ETS） |
| 対象 | カリフォルニア州の生徒（直近3学年に在籍した全生徒を含むが、それに限らない） | 確定（ETS） |
| 氏名・生年月日・住所・学校・学区・学年 | ファイルの閲覧・複製は確認。この項目は含まれる場合がある（生徒により異なる） | 漏えいを確認（ETS。項目は生徒により異なる） |
| SSID・学区の生徒ID | 含まれる場合がある（生徒により異なる） | 漏えいを確認（ETS。項目は生徒により異なる） |
| 性別・人種や民族・言語・出身国・英語学習者の状況 | 含まれる場合がある（生徒により異なる） | 漏えいを確認（ETS。項目は生徒により異なる） |
| 障害と504の状況・テストの配慮・主な障害の種類 | 含まれる場合がある（生徒により異なる） | 漏えいを確認（ETS。項目は生徒により異なる） |
| 各制度の対象状況（Title I・McKinney-Vento・Military Connected） | 含まれる場合がある（生徒により異なる） | 漏えいを確認（ETS。項目は生徒により異なる） |
| 英語の習熟度とテストの登録・受験・結果 | 該当する場合に含まれる場合がある | 漏えいを確認（ETS。項目は生徒により異なる） |
| 社会保障番号・運転免許証・パスポートの番号、口座・カード情報、パスワード | 含まれない | 含まれない（ETS） |
| 保護者の情報 | 関係していない | 含まれない（ETS） |
| データの公開 | ウェブの監視で、現時点で証拠は見つかっていない | 確認されていない（ETS） |
| 生徒の人数 | 書かれていない | 記載なし |
| ログイン情報が第三者の手に渡った経緯 | 書かれていない | 記載なし |
読み方：報道の人数の推計は公式の数字ではない
報道には影響を受けた生徒の人数の推計があり、媒体によって数字が違います。ETSとCDEは人数を公表していないため、この記事では数字を使いません。お知らせの「含むが、それに限らない」という言い方は、3学年より前の生徒も含まれうることを意味します。
この項目の組み合わせで何が起きうるか
一般に、次のような組み合わせは悪用されることがあります。今回起きたという意味ではありません。
- 氏名＋学校＋学年＋生徒ID：学校・学区・テストの担当を名乗る本物らしい連絡が作れる
- 障害・504の状況・配慮：家族の心配につけ込む連絡（有料サービスの勧誘、記録の提出の依頼など）
- 住所＋生年月日：社会保障番号がなくても、なりすましの足がかりになる
- 事案そのもの：本物の通知に似せた「保護サービスを受け取る」「お子さまの確認」などの偽の連絡
生徒の記録を持つ学校・ベンダーが見直すこと
お知らせはログイン情報が第三者の手に渡った経緯を書いていないため、この節はETSの対策を評価しません。公表された事実から、他の組織が自分で確かめられることに絞ります。
- 1つのログインで多くの生徒のファイルが開けるシステムを探す。 今回は、ファイルのやり取りに使うサイトの1つのアカウントから、州全体の生徒のファイルにアクセスされました。ファイル転送サイト・共有フォルダ・書き出しと、そのアカウントを持つ人を一覧にします。
- 長く続くアクセスに気づけるようにする。 ログイン情報は、不審な動きが確認されるまでの約4か月の間、何度か使われていました。ファイルのやり取りのシステムで、ログインとダウンロードが記録され、見直されているかを確かめます。
- 作業に必要な項目だけを送る。 ファイルには、テストのデータと一緒に障害や制度の情報が入っていました。各データのやり取りが、運んでいる項目を本当にすべて必要としているかを見直します。
出典（公開情報）
この記事の事実は、以下の公開情報によります。報道の人数の推計は使っていません。
- ETS「Notice of Data Breach」（カリフォルニア州司法長官に届け出られた通知文のサンプル、PDF、英語）— oag.ca.gov
- カリフォルニア州司法長官 データ侵害一覧の項目（組織名「CDE」、侵害日2026年5月22日、届出日2026年10月16日）— oag.ca.gov
- カリフォルニア州教育省 発表 #26-45「ETS Begins Notifying California Students and Families Following Data Security Incident」（2026年10月16日、英語）— cde.ca.gov
- カリフォルニア州教育省 ETS事案の情報ページ（英語ほか）— cde.ca.gov/ets
- 米連邦取引委員会（FTC）「Credit Freezes and Fraud Alerts」（英語）— consumer.ftc.gov
更新履歴
2026-10-31：初版。カリフォルニア州司法長官に届け出られた（届出の組織名はCDE）ETSの「データ侵害のお知らせ」と、10月16日のCDEの発表にもとづく。人数は公表されていない。ETSまたはCDEが続報を出したら更新する。
次に読む
- 米国の学校向けベンダーの別の事案：Frontline Educationの情報漏えい
- 学生の奨学金の情報：フロリダ州教育省の奨学金サイトの不正アクセス
- カリフォルニア州の別の委託先の通知：Paradigm Healthcare ServicesのMedi-Cal会員情報の漏えい
- 続く詐欺への備え：フィッシングとは
- 2026年のほかの事件：2026年の情報漏えい・サイバー攻撃