生徒や教員のデータが流出 「PowerSchool」の侵害はこうして起きた：教育機関向けシステムに不正アクセス【前編】

教育機関を狙う攻撃として、教育現場で使われるツールを“経由”したデータ盗難がある。米国で起きた攻撃例を解説する。

[Sean Michael Kerner，TechTarget]

　教育機関を標的にした攻撃が広がっている。教育機関が直接狙われなくても、使っているツールへの攻撃によって被害を受けるケースもある。その一つが、教育機関向けソフトウェアを手掛けるPowerSchoolを襲った攻撃だ。2024年12月に同社システムへの不正アクセスがあり、ユーザー組織のデータが流出した。日本も含め世界のどこに起きてもおかしくない教育機関への攻撃――。どのように実施されたのか。

発端はフィッシング？　攻撃はこうして起きた

併せて読みたいお薦め記事

組織にとってのデータ流出リスク

• SaaSの“あれ”がまるでわな？　NetSuiteのECツールからデータ流出の恐れ
• 悪意なき「シャドー生成AI」が“深刻なデータ流出事件”につながる危険性

　PowerSchoolのソフトウェアは生徒の情報を管理する他、学習の進捗（しんちょく）状況を管理したり分析したりする機能を持つ。90カ国以上で約1万8000校が使っているという。

　2024年12月28日（米国時間）、PowerSchoolはシステムに不正アクセスがあったことを見つけたという。同社によると、攻撃の入り口はカスタマーサポートポータル「PowerSource」だった。攻撃者は生徒と職員の情報が保存されているデータベースにアクセスできたとPowerSchoolは説明する。

　不正アクセスを発見した後、PowerSchoolはセキュリティベンダーCrowdStrikeに、攻撃についての調査を依頼した。盗まれたデータが公開されないよう、攻撃者に対して金銭を支払ったとみられる。

　調査から、攻撃がどのようにして発生したのかについて幾つかの手掛かりが得られた。それによると、攻撃者は認証情報を不正利用し、PowerSourceにアクセスした。認証情報を手に入れるために、ソーシャルエンジニアリング（人の心理を巧みに操って意図通りの行動をさせる詐欺手法）を使ったフィッシング攻撃を実施した可能性がある。

　攻撃者がアクセスしたPowerSourceには、PowerSchoolのエンジニアがトラブルシューティングやサポートのために顧客の情報にアクセスできるツールが含まれていた。攻撃者はシステムに侵入すると、同ツールを利用してPowerSchoolのデータベースから生徒と職員の情報を抽出した。

---

　後編は、攻撃の詳細や影響範囲を取り上げる。

TechTarget発　先取りITトレンド

米国Informa TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。