Last Updated on 2025-05-22 09:46 by admin

米国マサチューセッツ州スターリング在住の19歳大学生マシュー・レーン容疑者が、教育テクノロジー企業PowerSchoolのシステムに不正アクセスし、約6,240万人の生徒と約950万人の教師の個人情報を盗み出した事件で、サイバー恐喝などの罪で有罪答弁することに合意した。

この事件は2024年12月に発生した。レーン容疑者は2024年9月にPowerSchoolのシステムに不正アクセスを開始し、同社が運営する顧客サポートポータル「PowerSource」を通じて侵入した。PowerSchoolは12月28日に不正アクセスを検知した。

レーン容疑者は盗み出したデータを元に、PowerSchoolに対して約285万ドル（約4億3000万円）相当のビットコインを要求。PowerSchoolは身代金を支払い、攻撃者がデータを削除する様子を映したビデオを受け取ったが、2025年5月7日時点でも攻撃者はカナダや北カロライナ州の学校に盗まれたデータのサンプルを含む恐喝メールを送り続けていた。

盗まれたデータには、生徒や教師の氏名、住所、生年月日、社会保障番号、医療情報、学業記録などの個人情報が含まれている。銀行情報やクレジットカード情報は含まれていないとされる。

レーン容疑者はこの事件の前に、ある通信会社からも顧客データを盗み出し、20万ドル（約3000万円）のビットコインを要求していたが、この恐喝は失敗に終わっていた。

PowerSchoolはカリフォルニア州フォルサムに本社を置く北米最大の教育向けクラウドソフトウェアプロバイダーで、90カ国以上の18,000以上の学校組織に導入され、6,000万人以上の生徒をサポートしている。2024年10月に投資会社ベイン・キャピタルに買収された。

レーン容疑者はサイバー恐喝共謀、サイバー恐喝、保護されたコンピュータへの不正アクセス、加重身分窃盗の罪で起訴され、最大で懲役17年と25万ドル（約3,800万円）の罰金、さらに3年間の監視付き釈放の可能性がある。司法取引により、最低2年の刑が義務付けられている。

References:
US teen to plead guilty to extortion attack against PowerSchool

【編集部解説】

今回のPowerSchool社に対するサイバー攻撃事件は、教育分野におけるデータセキュリティの脆弱性と、その影響の大きさを浮き彫りにした事例として注目に値します。

まず、事件の経緯を整理しておきましょう。2024年9月、PowerSchool社のシステムに19歳の大学生Matthew Lane容疑者が不正アクセスを開始し、12月には約6,240万人の生徒と約950万人の教師の個人情報を盗み出しました。PowerSchool社は身代金を支払い、データが削除されたと考えていましたが、2025年5月になって複数の学校区が新たな恐喝を受けるという事態に発展しています。

この事件で特に注目すべきは、侵入経路の単純さです。複数の報道によれば、ハッカーはPowerSchoolの請負業者の認証情報を使用してシステムにアクセスし、顧客サポートポータル「PowerSource」を通じて大量の個人情報をダウンロードしたとされています。高度なハッキング技術ではなく、盗まれた認証情報の悪用という基本的な手法で大規模な情報流出が起きた点は重要です。

このような基本的なセキュリティ対策の欠如は、教育テクノロジー業界全体の課題を示しています。学校や教育機関は膨大な個人情報を保有していながら、セキュリティ投資が十分でない場合が多いのです。

また、身代金を支払ったにもかかわらず、データが削除されなかった点も重要です。サイバーセキュリティの専門家や法執行機関は長年、身代金の支払いは避けるべきだと助言してきました。なぜなら、支払いがハッカーを助長し、データ削除の保証がないためです。実際、Cybereason社の2024年の調査によれば、身代金を支払った被害者の78%が二度目のランサムウェア攻撃を受けており、多くの場合、同じ攻撃者によるものでした。

今回の事件は、教育分野におけるデジタル化の進展と、それに伴うセキュリティリスクの増大を示しています。PowerSchool社のようなクラウドベースの教育ソフトウェアプロバイダーは、学校運営の効率化に貢献する一方で、集中管理される個人情報が攻撃者にとって魅力的な標的となっています。

この事件が与える影響は広範囲に及びます。まず、数千万人の生徒と教師の個人情報が漏洩したことで、アイデンティティ盗難のリスクが高まっています。特に未成年者のデータは長期間にわたって悪用される可能性があり、その影響は数年、あるいは数十年続く恐れがあります。

また、教育テクノロジー業界全体にとって、セキュリティ強化の必要性を再認識させる契機となるでしょう。多要素認証やゼロトラストアーキテクチャなど、基本的なセキュリティ対策の導入が急務となっています。

さらに、規制の面でも影響が予想されます。米国ではすでに児童のオンラインプライバシーを保護するための法律（COPPA）が存在しますが、今回の事件を受けて、教育データのセキュリティに関する規制が強化される可能性があります。

長期的には、教育機関がテクノロジーを導入する際のセキュリティ評価プロセスが見直され、ベンダー選定においてセキュリティ対策が重要な判断基準となるでしょう。また、教育関係者のサイバーセキュリティリテラシー向上も課題となります。

この事件は、デジタル化が進む教育現場において、利便性と安全性のバランスをどう取るかという難題を私たちに投げかけています。テクノロジーの恩恵を享受しながらも、子どもたちの個人情報を守るための取り組みが今後ますます重要になってくることでしょう。

【用語解説】

PowerSchool:
北米最大の教育向けクラウドソフトウェアプロバイダー。90カ国以上の18,000以上の学校組織に導入され、6,000万人以上の生徒をサポートしている。学生情報システム（SIS）を中心に、出席管理、成績評価、学習管理などの機能を提供している。2024年10月に投資会社ベイン・キャピタルに買収された。

PowerSource:
PowerSchoolが運営する顧客サポートポータル。今回の事件では、このポータルを通じて不正アクセスが行われた。

サイバー恐喝（Cyber Extortion）:
サイバー攻撃者が企業や個人から金銭を脅し取る行為。今回の事件では、盗み出したデータを公開すると脅して身代金を要求する「データ恐喝」の手法が用いられた。

多要素認証（MFA）:
パスワードだけでなく、スマートフォンへの確認コード送信など、複数の認証方法を組み合わせてセキュリティを高める仕組み。基本的なセキュリティ対策として重要視されている。

【参考リンク】

PowerSchool公式サイト（外部）
PowerSchoolの製品やサービスに関する情報を提供する公式サイト。K-12教育向けのクラウドベースソリューションを紹介している。

The Register（事件報道元）（外部）
テクノロジー分野のニュースを専門とするイギリスのオンラインメディア。今回の事件を最初に報じた。

PowerSchool SIS製品デモ（外部）
PowerSchool SISの機能や特徴を紹介するデモページ。製品の概要を知ることができる。

【編集部後記】

皆さんの学校や職場では、どのようなセキュリティ対策が取られているでしょうか？多要素認証の導入状況や、個人情報の取り扱いポリシーについて確認してみると、新たな発見があるかもしれません。また、自分自身のデジタルセキュリティについても今一度見直す良い機会かもしれませんね。教育現場のデジタル化が進む中、便利さとセキュリティのバランスについて、皆さんはどのようにお考えでしょうか？ぜひSNSでご意見をお聞かせください。

【関連記事】

サイバーセキュリティニュースをinnovaTopiaでもっと読む