פרטי גישה לתמיכה פתחו את מאגרי בתי הספר
גניבת מידע של תלמידים ומורים, תשלום כופר, סחיטה נוספת וחקירות רגולטוריות של הרשאות הספק.
היקף המידע המתואר בהליך הפלילי
לפי משרד המשפטים, לצד יותר מ-10 מיליון מורים. אין פירוש הדבר שלכל אדם נגנבו אותם שדות מידע.[7]
דרישת הכופר בהליך הפלילי
החברה דיווחה ששילמה כופר. סכום הדרישה וסכום התשלום המדויק שאושר בידי החברה אינם מוצגים כזהים ללא אסמכתה.[7][2]
גזר הדין של Matthew Lane
ניתן ב-14 באוקטובר 2025, בהליך שכלל שני אירועי סחיטה נפרדים.[3]
האירוע בקצרה
בסוף דצמבר 2024 התגלתה גניבת מידע ממערכות ניהול תלמידים של PowerSchool. התוקף ניצל פרטי גישה לפורטל תמיכה כדי להגיע למידע של בתי ספר. החברה שילמה כופר, אך במאי 2025 התברר שאותו מידע משמש לניסיונות סחיטה נוספים. האירוע חשף פערים בהרשאות תמיכה ובפיקוח על ספק טכנולוגי מרכזי.
מה עושה החברה
SIS היא מערכת לניהול מידע בבתי ספר. פורטל PowerSource מאפשר לאנשי תמיכה לבצע תחזוקה במערכות לקוחות.[1]
גניבת מידע וסחיטה
התחקיר מצא גניבת טבלאות תלמידים ומורים ברמת היישום, ללא ראיות לנוזקה או לגישה למערכת ההפעלה.[1]
גם הרשאות הספק חייבות להיות בפיקוח
נציבות הפרטיות באונטריו קבעה כי נעשה שימוש בפרטי גישה של קבלן משנה בעל הרשאות גבוהות, והצביעה על העדר אימות רב שלבי ועל גישה מרחוק שלא הוגבלה לצורך נקודתי.[4]
ציר זמן
- 16 באוגוסט–17 בספטמבר 2024מחקר וחקירה
שימוש מוקדם בפרטי הגישה
CrowdStrike זיהתה פעילות בלתי מורשית עם אותם פרטי תמיכה. היא לא מצאה ראיות מספיקות לייחס אותה לתוקף של דצמבר או לקבוע אם נגנב אז מידע.[1]
- 19–23 בדצמבר 2024מחקר וחקירה
גישה וגניבת טבלאות
לפי התחקיר, נעשה שימוש בתמיכה מרחוק ונגנבו נתונים מטבלאות Students ו-Teachers במערכות לקוחות מסוימות.[1]
- 28–29 בדצמבר 2024מחקר וחקירה
גילוי והפעלת חקירה
החברה זיהתה פעילות חשודה ב-28 בדצמבר וגייסה את CrowdStrike למחרת. היא ביטלה את פרטי הגישה שנפגעו והחמירה את בקרות הגישה.[1]
- 7–17 בינואר 2025דיווח החברה
הודעה ללקוחות והגנת זהות
PowerSchool הודיעה ללקוחות והציעה שירותי הגנה מפני גניבת זהות וניטור אשראי בהתאם לזכאות.[2]
- 7 במאי 2025דיווח החברה
הסחיטה חוזרת למרות התשלום
החברה דיווחה שחלק מלקוחותיה קיבלו ניסיונות סחיטה על בסיס המידע מהאירוע המקורי. היא לא הציגה זאת כחדירה חדשה.[2]
- 14 באוקטובר 2025
גזר הדין
Matthew Lane נידון לארבע שנות מאסר. צו הפיצוי הכולל בהליך עמד על כ-14.08 מיליון דולר, לצד קנס של 25 אלף דולר.[3]
- נובמבר 2025–מאי 2026
מה קרה טכנית
פרטי תמיכה כנקודת כניסה
חשבון תמיכה אחד איפשר להגיע למופעי SIS של לקוחות שערוץ התחזוקה שלהם היה פתוח.[1]
גישה פתוחה לאורך זמן
הרגולטורים הצביעו על היעדר אימות רב שלבי ועל גישה מרחוק שהותרה באופן מתמשך. אלה ממצאי חקירה, ולא מסקנה משימוש כללי בסיסמה גנובה.[4]
השפעה עסקית ועלויות
כל סכום מוצג עם סוג ההוצאה והתקופה שלו. סיוע מימוני, נכסים שנגנבו ודרישת כופר אינם בהכרח עלות בפועל.
PowerSchool מסרה ששילמה על בסיס שיקול שנועד להגן על הלקוחות, אך הכירה בסיכון שהמידע לא יימחק. דרישת הכופר המתועדת בהליך הייתה כ-2.85 מיליון דולר.[2][7]
הסכום שפרסם משרד המשפטים נוגע להליך שכלל שני אירועי סחיטה. אין להציגו כהפסד חשבונאי כולל של PowerSchool או כתשלום שכבר הועבר לכל הנפגעים.[3]
בניופאונדלנד ולברדור נמצאו נתוני תלמידים משנת 1995 ונתוני מורים מ-2010. היקף זה נוגע לאותה מערכת חינוך, ולא לכל לקוח PowerSchool בעולם.[6]
האירוע מדגים מדוע הודעת מחיקה של תוקף אינה ראיה לכך שאין עותקים. לפי החברה, הפניות התבססו על מידע מהאירוע המקורי.[2]
התוקפים וטענות האחריות
Matthew D. Lane נידון לארבע שנות מאסר בהליך שכלל את הפגיעה בספקית החינוך ואירוע סחיטה נוסף. אין כאן ייחוס אוטומטי של כל הפניות המאוחרות לאותו אדם.[3]
לפרופיל במאגר התוקפיםלקחים למנהלים ולאנשי אבטחה
לדרוש הוכחות גם לערוצי התמיכה
לבדוק במפורש אם פורטלי תמיכה, חשבונות קבלנים והרשאות תחזוקה נכללים בבדיקות ובדוחות שמציג הספק.
לאפשר גישה רק כשצריך
להעדיף הרשאות נקודתיות, מוגבלות בזמן ובעלות זהות אישית, עם אימות רב שלבי ותיעוד שימוש.
לצמצם שמירת מידע היסטורי
לוח זמנים למחיקת מידע של בוגרים ועובדים לשעבר עשוי לצמצם את הפגיעה באירוע עתידי.
לנהל את הסיכון גם אחרי תשלום
תוכנית תגובה צריכה להביא בחשבון עותקים נוספים, סחיטה חוזרת והודעות ממושכות לנפגעים.
מה עדיין אינו ידוע
- לא נקבע בתחקיר הפורנזי שהפעילות באוגוסט–ספטמבר בוצעה בידי אותו גורם שפעל בדצמבר.
- אין בתיק אומדן מאוחד של עלויות כלל בתי הספר, ההליכים האזרחיים והנזק לנפגעים.
- אין להסיק מהתשלום או מסרטון מחיקה שהמידע הושמד בכל מקום.
הסיקור בחדשות סייבר
מקורות, מחקרים ותחקירים
המספרים בגוף התיק מפנים למקורות שלהלן. לצד כל מקור מופיע מועד פרסומו; מועד בדיקת התיק מצוין בראש העמוד.
- 1
- 2דיווח החברה7 בינואר–7 במאי 2025Updates from PowerSchool: customer notices
PowerSchool, הודעות מקוריות באתר מחוז חינוך
- 313 בנובמבר 2025; גזר דין: 14 באוקטוברWorcester College Student Sentenced to Four Years in Prison
US DOJ
- 420 באפריל 2026Millions of student records compromised: oversight of edtech providers
Information and Privacy Commissioner of Ontario
- 5
- 6
- 7
