Departemen Pendidikan California (California Department of Education/CDE) mengumumkan Jumat lalu (16/10) bahwa data siswa California bocor dari sistem milik Educational Testing Service (ETS), lembaga nirlaba yang mengurus asesmen negara bagian untuk sekolah umum di California. Yang membuat kasus ini menonjol bukan serangan yang canggih, melainkan durasinya: pelaku masuk lewat satu kredensial login yang disusupi, lalu berkeliaran di dalam sistem itu selama hampir lima bulan tanpa terdeteksi.
Menurut pemberitahuan resmi yang diterbitkan lewat Kantor Kejaksaan Agung California, ETS baru mengetahui aktivitas tak sah tersebut pada 25 September 2026. Investigasi berikutnya menemukan bahwa pihak tak berwenang memakai kredensial login yang disusupi untuk masuk ke situs secure file transfer protocol (SFTP) milik ETS, jalur yang dipakai ETS dan CDE untuk bertukar data asesmen negara bagian, lalu menyalin berkas berisi informasi siswa.
“Investigasi menentukan bahwa pihak tak berwenang menggunakan kredensial login yang disusupi untuk mengakses situs tersebut dan menyalin berkas yang berisi informasi siswa California pada berbagai waktu antara 22 Mei dan 18 September 2026,” tulis CDE dalam pemberitahuan itu.
Kabar insiden ini sampai lebih dulu ke pemerintah daerah daripada ke publik. Pada 2 Oktober 2026, CDE mengirim surat kepada pejabat distrik dan kantor pendidikan kabupaten; Reuters melaporkan surat itu menyebut ETS menghentikan “pemrosesan data pendaftaran normal”. Notifikasi resmi kepada siswa dan keluarga baru mulai berjalan 16 Oktober dan diperkirakan berlanjut sampai awal November.
Cakupannya lebih luas dari satu tahun ajaran
ETS menjalankan asesmen wajib California, termasuk CAASPP dan ELPAC, dan dari peran itu menyimpan data demografis siswa, keikutsertaan tes, serta hasil asesmen.
Data yang diakses dan disalin mencakup semua siswa yang terdaftar pada tiga tahun ajaran sebelumnya, ditambah sebagian mantan siswa yang meninggalkan California tanpa mengonfirmasi perpindahan sekolahnya, dengan jejak data sampai tahun 2006. Sebagai gambaran skala, lebih dari 5,7 juta siswa terdaftar di sekolah umum California pada tahun ajaran 2025-2026, menurut data CDE yang dikutip Reuters. Artinya jumlah orang yang terdampak melampaui angka 5,7 juta itu. Cybernews mencatat siswa terdampak tersebar di lebih dari 1.000 distrik sekolah.
Jenis data yang bocor bervariasi per siswa, tetapi menurut notifikasi resmi bisa mencakup:
- nama, tanggal lahir, alamat tempat tinggal, sekolah, distrik, dan tingkat kelas;
- Statewide Student Identifier (SSID) dan nomor identitas siswa lokal;
- jenis kelamin, ras atau etnis, bahasa utama, negara asal, dan status English learner;
- status disabilitas dan Section 504, akomodasi tes, serta jenis disabilitas utama;
- status kelayakan program Title I Part A, Title I Part C, McKinney-Vento, dan Military Connected Student;
- informasi kemampuan bahasa Inggris serta registrasi, partisipasi, dan hasil asesmen negara bagian.
Yang tidak ikut terekspos: nomor jaminan sosial (SSN), nomor SIM, nomor paspor, informasi rekening dan kartu, kata sandi akun, serta data orang tua atau wali. Distrik sekolah California juga tidak menyimpan status imigrasi siswa, demikian ditegaskan Distrik Sekolah Unified Irvine dalam pemberitahuan kepada warganya.
Langkah ETS dan negara bagian
ETS menyatakan telah menonaktifkan akun yang dipakai, mematikan sementara situs SFTP tersebut, dan membangun situs SFTP baru dengan kontrol keamanan lebih ketat, dibantu ahli keamanan siber eksternal.
“Kami telah menerapkan pengamanan tambahan, termasuk pemantauan yang ditingkatkan, kontrol akses yang diperkuat, dan tinjauan pihak ketiga atas praktik keamanan kami,” kata juru bicara ETS, Christine Betaneli, kepada Reuters.
Di tingkat negara bagian, CDE dibantu California Department of Technology dan Cal OES untuk urusan teknis, hukum, dan operasional. CDE bersama State Board of Education juga meninjau kepatuhan ETS terhadap syarat keamanan data dan isi kontraknya. Aparat penegak hukum sudah diberi tahu, dan penyelidikan mereka tidak menunda pemberitahuan ke publik.
Insiden ini juga memunculkan pertanyaan soal desain sistem, bukan cuma soal kata sandi.
“Kredensial login yang dicuri seharusnya tidak menjadi paspor berbulan-bulan menuju data pribadi jutaan siswa,” kata Anton Dahbura, direktur eksekutif Johns Hopkins University Information Security Institute, kepada Los Angeles Times. “Kalau memang itu yang terjadi, pertanyaan kritisnya adalah kenapa pengamanan autentikasi, pembatasan akses, dan sistem pemantauan gagal mendeteksi dan menghentikan aktivitas tak sah itu.”
Yang perlu dilakukan keluarga
ETS menawarkan perlindungan identitas gratis lewat Experian IdentityWorks selama dua tahun, dengan tenggat pendaftaran 19 Maret 2027: paket khusus siswa di bawah 18 tahun (didaftarkan orang tua atau wali) dan paket untuk yang sudah dewasa. Informasi insiden ada di cde.ca.gov/ets, dan pertanyaan bisa disampaikan lewat 833-931-8488, Senin sampai Jumat, 06.00-18.00 waktu Pasifik.
CDE menyarankan orang tua mempertimbangkan pembekuan kredit gratis untuk anak di bawah 16 tahun, sekaligus waspada terhadap email atau telepon yang mengaku dari ETS, negara bagian, atau perusahaan pemantau kredit.
Sampai sekarang ETS menyatakan tidak ada bukti data yang dicuri telah dipublikasikan. Tapi belum ada keterangan apakah ada tuntutan tebusan, dan tidak ada pihak yang menyebut siapa pelakunya.
Foto: Paul The Writer via Wikimedia Commons (CC0).
