Окружной суд округа Массачусетс в США вынес приговор 19-летнему студенту колледжа Мэтью Д. Лейну. По версии обвинения Лейн был одним из организаторов кибератаки на облачную платформу PowerSchool в декабре 2024 года. Ранее Лейн признал себя виновным по 4 пунктам обвинения – неавторизованный доступ к защищенным компьютерным системам, сговор с целью кибервымогательства, собственно кибервымогательство и похищение персональных данных при отягчающих обстоятельствах.
PowerSchool – облачный сервис управления данными учеников, который используют тысячи общеобразовательных средних школ и школьных округов во многих странах мира. Согласно данным Министерства юстиции США Мэтью Д. Лейн вместе с сообщниками воспользовался похищенными учетными данными одного из подрядчиков PowerSchool для входа в системы платформы 19 декабря 2024 года. После этого злоумышленники смогли получить неавторизованный доступ к базам данных, содержащим персональную информацию 9,5 миллиона педагогов и 62,4 миллиона учащихся из 6505 школьных округов по всему миру. Данные содержали полные имена, телефонные номера, сведения о проживании, родителях учеников, контактную и медицинскую информацию, номера социального страхования и т.д.
28 декабря 2024 года хакеры вышли на PowerSchool с требованием выкупа. Они требовали выплатить им 2,85 миллиона долларов в криптовалюте биткоин за отказ от публикации похищенных данных. Примечательно, что похитители при этом выдавали себя за печально известную хакерскую группировку Shiny Hunters, известную многими масштабными кибератаками. Представители PowerSchool пошли на сделку с хакерами и выплатили им выкуп, хотя финальная его сумма остается неизвестной. Тем не менее и после этого Лейн с сообщниками продолжали пытаться вымогать деньги – уже у отдельных школьных округов.
Судья Маргарет Р. Гузман приговорила Лейна к четырем годам тюремного заключения, а также выплате 14 миллионов долларов компенсации и 25 тысяч долларов штрафа. При этом судебные проблемы угрожают и платформе PowerSchool. Генеральный прокурор штата Техас подал иск к сервису, обвиняя его в ненадлежащей защите персональных данных граждан и организаций Техаса и неверном информировании о мерах этой защиты.
