生徒や教員のデータが流出　「PowerSchool」の侵害はこうして起きた：教育機関向けシステムに不正アクセス【前編】

　PowerSchoolのソフトウェアは生徒の情報を管理する他、学習の進捗（しんちょく）状況を管理したり分析したりする機能を持つ。90カ国以上で約1万8000校が使っているという。

　2024年12月28日（米国時間）、PowerSchoolはシステムに不正アクセスがあったことを見つけたという。同社によると、攻撃の入り口はカスタマーサポートポータル「PowerSource」だった。攻撃者は生徒と職員の情報が保存されているデータベースにアクセスできたとPowerSchoolは説明する。

　不正アクセスを発見した後、PowerSchoolはセキュリティベンダーCrowdStrikeに、攻撃についての調査を依頼した。盗まれたデータが公開されないよう、攻撃者に対して金銭を支払ったとみられる。

　調査から、攻撃がどのようにして発生したのかについて幾つかの手掛かりが得られた。それによると、攻撃者は認証情報を不正利用し、PowerSourceにアクセスした。認証情報を手に入れるために、ソーシャルエンジニアリング（人の心理を巧みに操って意図通りの行動をさせる詐欺手法）を使ったフィッシング攻撃を実施した可能性がある。

　攻撃者がアクセスしたPowerSourceには、PowerSchoolのエンジニアがトラブルシューティングやサポートのために顧客の情報にアクセスできるツールが含まれていた。攻撃者はシステムに侵入すると、同ツールを利用してPowerSchoolのデータベースから生徒と職員の情報を抽出した。

　後編は、攻撃の詳細や影響範囲を取り上げる。