教育機関向けシステムに不正アクセス【前編】

生徒や教員のデータが流出　「PowerSchool」の侵害はこうして起きた

教育機関を狙う攻撃として、教育現場で使われるツールを“経由”したデータ盗難がある。米国で起きた攻撃例を解説する。

公開 2025年03月18日 05時01分

[TechTarget]

印刷する連載新着通知を受け取る

　教育機関を標的にした攻撃が広がっている。教育機関が直接狙われなくても、使っているツールへの攻撃によって被害を受けるケースもある。その一つが、教育機関向けソフトウェアを手掛けるPowerSchoolを襲った攻撃だ。2024年12月に同社システムへの不正アクセスがあり、ユーザー組織のデータが流出した。日本も含め世界のどこに起きてもおかしくない教育機関への攻撃――。どのように実施されたのか。

発端はフィッシング？　攻撃はこうして起きた

併せて読みたいお薦め記事

組織にとってのデータ流出リスク

　PowerSchoolのソフトウェアは生徒の情報を管理する他、学習の進捗（しんちょく）状況を管理したり分析したりする機能を持つ。90カ国以上で約1万8000校が使っているという。

　2024年12月28日（米国時間）、PowerSchoolはシステムに不正アクセスがあったことを見つけたという。同社によると、攻撃の入り口はカスタマーサポートポータル「PowerSource」だった。攻撃者は生徒と職員の情報が保存されているデータベースにアクセスできたとPowerSchoolは説明する。

　不正アクセスを発見した後、PowerSchoolはセキュリティベンダーCrowdStrikeに、攻撃についての調査を依頼した。盗まれたデータが公開されないよう、攻撃者に対して金銭を支払ったとみられる。

　調査から、攻撃がどのようにして発生したのかについて幾つかの手掛かりが得られた。それによると、攻撃者は認証情報を不正利用し、PowerSourceにアクセスした。認証情報を手に入れるために、ソーシャルエンジニアリング（人の心理を巧みに操って意図通りの行動をさせる詐欺手法）を使ったフィッシング攻撃を実施した可能性がある。

　攻撃者がアクセスしたPowerSourceには、PowerSchoolのエンジニアがトラブルシューティングやサポートのために顧客の情報にアクセスできるツールが含まれていた。攻撃者はシステムに侵入すると、同ツールを利用してPowerSchoolのデータベースから生徒と職員の情報を抽出した。

　後編は、攻撃の詳細や影響範囲を取り上げる。