學生駭客認罪：美國教育科技巨頭 PowerSchool 數千萬個資外洩勒索案解析

學生駭客認罪：美國教育科技巨頭 PowerSchool 數千萬個資外洩勒索案解析

你可能想不到，一個看似尋常的大學生，竟可能牽涉到數千萬學生與教師的個資外洩事件，甚至向大型教育科技公司提出天價勒索？這聽起來像電影情節，卻真實發生在美國。近日，一名來自麻薩諸塞州的 19 歲大學生 Matthew D. Lane，就針對駭客攻擊一家廣泛被北美學校使用的教育科技公司並進行勒索的聯邦指控，同意達成認罪協議。

雖然官方文件沒有直接點名，但案件細節清楚地指向了知名的教育管理系統供應商 PowerSchool。這起事件不僅揭露了駭客攻擊手法，更凸顯了龐大敏感個資面臨的風險，以及面對網路勒索時的棘手困境。接下來，讓我們一起看看這起事件的來龍去脈，以及它帶給我們哪些重要的資安啟示。

駭客現形：從竊取憑證到資料庫淪陷

這起震驚教育界的事件，是怎麼開始的呢？根據調查，這位年輕的駭客 Matthew D. Lane 使用了非法的手段取得的登入憑證，成功入侵了 PowerSchool 的網路系統。就像小偷拿到了你家大門的鑰匙一樣，一旦進入系統內部，駭客就能開始竊取重要的資訊。

被竊取的資料範圍之廣令人咋舌。它包含了超過 6000 萬名學生 和 1000 萬名教師 的 個人資料。想像一下，這幾乎等於台灣總人口數的三倍！這些資料不僅僅是姓名和地址，更包含了許多高度敏感的資訊，例如：

• 姓名、地址、電話
• 社會安全碼（SSN） – 這在美國是非常關鍵的身份識別號碼
• 醫療資訊
• 學校成績與紀錄

其中部分資料甚至可以追溯數十年之久。這代表著許多已經畢業多年的學生的敏感資訊，也可能因此外洩，面臨潛在的風險。資料在 2024 年 12 月被轉移到位於烏克蘭的伺服器，顯示了網路犯罪的跨國特性。

天價勒索與贖金困境

在成功竊取了大量敏感資料後，駭客的下一步行動就是提出勒索。Matthew D. Lane 與另一名來自伊利諾州的聯合被告，向 PowerSchool 開出了約 285 萬美元的天價勒索金，要求以加密貨幣，約 30 枚比特幣支付。

面對如此龐大的資料被竊，一家公司會怎麼做呢？根據後來的證實，PowerSchool 在 2025 年 1 月確實支付了這筆贖金。支付贖金的目的是希望能讓駭客刪除竊取的資料，避免更進一步的損害擴大。

然而，這起事件最令人擔憂的部分在於：即使 PowerSchool 支付了贖金，威脅並未完全解除。到了 2025 年 5 月，PowerSchool 的客戶，也就是各地的學校學區，竟然收到了與先前被盜資料相關的後續勒索威脅。這強烈暗示了，支付贖金並不能保證駭客會履行承諾刪除資料，也可能讓犯罪分子食髓知味，進行二次或多次勒索。這也讓其他面臨類似困境的企業或組織，在是否支付贖金上陷入兩難。

敏感個資的風險與廣泛影響

這起資料外洩事件，最核心的風險在於被竊取的 個人資料 是如此的敏感且影響層面如此廣泛。特別是對於數千萬學生而言，他們的 社會安全碼、醫療紀錄等在人生初期就被不法分子掌握，可能導致長期的 身分竊盜 風險。

想像一下，如果你的社安碼被盜用，未來可能被用於申請貸款、信用卡，甚至醫療服務，而你卻渾然不知，直到某一天發現自己的信用受損或背負不明債務。這不僅會造成重大的財務損失，更會引發受害者、尤其是家長對子女 個人資料 安全落入犯罪分子手中的極度擔憂與不安。

對學校學區而言，這不僅是資安事件，更是信任危機。家長將最寶貴的子女交給學校教育，同時也信任學校能保護他們的個資。這次事件無疑對這種信任造成了打擊。

跨行業攻擊與法律制裁

調查還顯示，這位年輕的駭客 Matthew D. Lane 並非只針對 PowerSchool。在駭客攻擊 PowerSchool 之前，他也曾參與了對另一家美國電信公司的駭客攻擊與勒索行為，當時的勒索金額是 20 萬美元。這表明網路犯罪者可能同時鎖定不同行業的目標進行攻擊，尋找系統的漏洞進行牟利。

最終，Matthew D. Lane 面臨了多項嚴重的聯邦指控，包括：

• 網路勒索
• 未經授權存取受保護電腦
• 加重身分竊盜

他同意就這些指控達成認罪協議。根據協議，他面臨至少兩年的監禁，並且同意不挑戰短於九年四個月的刑期。這是一個對網路犯罪行為的嚴厲警告。美國司法部官員也特別強調了此案的嚴重性，指出這種行為竊取了數百萬兒童及教師的隱私，造成了受害者重大的財務損失，並引發了廣泛的家長擔憂。

教育科技資安的深層挑戰

這次 PowerSchool 事件，不僅是一個駭客攻擊個案，更揭示了後疫情時代教育科技快速發展普及化背後潛藏的巨大資安風險。為了遠距教學和數位化管理，學校系統累積了大量敏感的學生和教師資料，這些資料一旦被駭客盯上，後果不堪設想。

這提醒了所有相關方：

1. 教育科技公司 必須持續加強其系統的資安防護，定期進行滲透測試與漏洞掃描。
2. 學校與學區 應提升資安意識，加強員工訓練，並仔細評估合作的科技供應商的資安能力。
3. 家長與學生 也應提高警覺，了解個資保護的重要性。

保護數千萬學生的敏感資料，是一項艱鉅且關鍵的任務。這次事件無疑是敲響了一個響亮的警鐘，呼籲整個教育領域必須更嚴肅地看待網路安全威脅，並投入更多資源強化防護機制。

Matthew D. Lane 的認罪協議為這起重大的 資料外洩 及 網路勒索 案畫下了階段性的句點。然而，數千萬學生與教師的 個人資料安全 陰影仍在，後續 勒索 的可能性也未完全解除。此案強烈提醒各界，尤其是在教育領域，必須嚴肅看待網路安全威脅，強化防護機制，以避免敏感資料落入犯罪分子之手，造成難以彌補的損害。

免責聲明：本文旨在提供教育與知識性資訊，不構成任何財務、投資、法律或其他專業建議。

常見問題（FAQ）

Q：這起駭客事件的影響範圍有多廣？

A：事件影響了超過6000萬名學生和1000萬名教師，涉及大量敏感的個人資料。

Q：駭客提出的勒索金額是多少？

A：駭客要求約285萬美元的贖金，要求以加密貨幣支付。

Q：支付贖金後，駭客會刪除資料嗎？

A：並不保證，支付贖金後仍有可能面臨後續勒索威脅。