Hacking

アイオワ州のある学区の元IT職員が、元勤務先に対して長期にわたるサイバー攻撃を行い、授業の運営を妨害し、アカウントを削除し、数万ドルの損害を与えたとして、懲役21ヶ月の判決を受けた。

裁判所の文書によると、エゼキエル・ディーン・ポッター被告（34）は、2022年5月から2023年4月まで、デモインのセイデル・コミュニティ学区でシニアITサポートスペシャリストとして勤務していた。 

検察側によると、ポッター被告は雇用終了後もアクセス権限を保持し続け、その後21ヶ月にわたり同学区のシステムを繰り返し標的にしたという。

image

「1年半以上にわたり、被告はセイデル・コミュニティ学区にとっての災いであった」と、米国政府は量刑意見書で述べた。

「彼はSCSDのFacebookページを削除し、職員の教育用プラットフォームやアカウントへのアクセス権を剥奪し、その他様々なプラットフォームやアカウントについて、職員のユーザー名やパスワードをリセットしようと何度も試みた。」

検察側は、これらの攻撃が学区に広範な混乱をもたらし、生徒への教育能力を損ない、数万ドルに上る復旧費用を招いたと述べた。

裁判所の文書によると、攻撃はポッターが学区を去った直後、セイデルのFacebookアカウントが削除された際に始まった。

検察側によると、ポッターはその後、学区の「Apple School Manager」アカウントを標的にし、ユーザーアカウント、パスワード、電話番号、請求情報、およびデバイス管理サーバーのデータを削除した。

これにより、学校職員は事実上Apple School Managerプラットフォームにアクセスできなくなり、スタッフがAppleと連携してアクセス権の回復を図る間、約1週間にわたり学区のMacBookおよびiPadの管理が不能となった。

また、同学区はGoDaddyアカウントやその他のオンラインサービスに対しても不正アクセス試行を受けた。

裁判所の文書によると、2025年1月、ポッターはGoogleの管理者アカウントを通じて学区のSchoology学習管理システムにアクセスし、IT担当職員のアカウントを削除した。これにより、教師によるプラットフォームへのアクセスが妨げられ、授業に約2時間にわたり支障が生じた。

検察側の主張によると、その1週間後、ポッターは別の管理者アカウントにアクセスし、学区のITディレクターや教育長を含む現職および元職員のGmailアカウント9件を削除した。

裁判所の提出書類によると、ポッターはその後、不正なアカウントアクセスを警告するGoogleのセキュリティアラートを受信した後、VPNサービスの利用に切り替えたという。

連邦捜査当局は最終的に、これらの活動の一部を、ケイシーズ・ストア・サポート・センターやザ・プリンター・インク（TPI）など、ポッターの他の勤務先に関連するIPアドレスまで追跡した。

検察当局によると、ポッターは2025年1月にTPIを退職した後、元同僚に対し、自分の机からUSBメモリを取り出してデータを消去するよう依頼したという。

しかし、その同僚はUSBメモリを捜査当局に引き渡した。捜査当局は、その中にセイデル学区のアカウントやサービスに関するユーザー名とパスワードが記載されたスプレッドシートを発見したとされている。

ポッターは2026年1月、司法取引を結ぶことなく、「コンピュータ詐欺・濫用法」に基づくコンピュータ詐欺の罪で有罪を認めた。

6月11日、ポッターは懲役21ヶ月、その後3年間の保護観察を言い渡された。

保護観察の条件の一環として、ポッターは雇用、財務、コンピュータシステムに関する制限と監視の対象となり、合理的な疑いがある場合には電子機器の捜索も含まれる。

また、ポッターは、攻撃に関連する修復費用として、セイデル・コミュニティ学区およびその保険会社であるトラベラーズ・キャシュアリティ・アンド・シュアティ・カンパニーに対し、59,668.81ドルの賠償金を支払うよう命じられた。