19-Jähriger gibt Erpressung durch Datendiebstahl bei PowerSchool zu

Ein 19-jähriger Student muss sich wegen Cyber-Erpressung gegen PowerSchool schuldig bekennen. Dabei wurden Daten von über 60 Millionen Schülern und 10 Millionen Lehrern offengelegt. Erfahren Sie mehr über die Folgen dieses Datenlecks, das als das größte in der Geschichte der US-Schulen gilt.

Der 19-jährige College-Student Matthew D. Lane aus Sterling im US-Bundesstaat Massachusetts hat sich bereit erklärt, sich in einem Fall von Cyber-Erpressung schuldig zu bekennen, in den zwei US-Unternehmen verwickelt sind, darunter PowerSchool , ein großer Anbieter von Bildungssoftware.

Das US-Justizministerium ( DOJ ) gab am 20. Mai bekannt, dass Lane, ein Student der Assumption University, beschuldigt wird, in Computernetzwerke eingedrungen zu sein und Lösegeldzahlungen gefordert zu haben.

Der Anklageschrift (PDF) zufolge werden ihm mehrere Anklagepunkte vorgeworfen, darunter Verschwörung zur Cyber-Erpressung, unbefugter Computerzugriff und schwerer Identitätsdiebstahl.

In der offiziellen Erklärung des Justizministeriums wird der Name des Anbieters der Bildungssoftware zwar nicht genannt, es handelt sich jedoch vermutlich um PowerSchool, eine in Schulen in den USA und Kanada weit verbreitete Plattform, die im Oktober 2024 von Bain Capital übernommen wurde.

PowerSchool meldete erstmals am 28. Dezember 2024 einen unbefugten Zugriff auf sein PowerSource-Kundensupportportal. Dieser Datendiebstahl legte Daten von über 60 Millionen Schülern und 10 Millionen Lehrern aus 6.505 Schulbezirken weltweit offen. Betroffen waren Schulbehörden in verschiedenen kanadischen Provinzen, darunter Ontario, Saskatchewan, Alberta, Neufundland und Labrador usw.

Die gestohlenen Informationen waren umfangreich und umfassten vollständige Namen, Adressen, Telefonnummern, Passwörter, Angaben zu Eltern, Sozialversicherungsnummern, medizinische Daten und sogar Noten. PowerSchool bestätigte zunächst nicht, ein Lösegeld gezahlt zu haben.

Wie Hackread.com kürzlich berichtete, gab das Unternehmen die Zahlung jedoch im Mai zu, nachdem die Angreifer begonnen hatten, sich direkt an Schulbezirke zu wenden und zusätzliches Geld zu fordern. PowerSchool erklärte: „Wir bedauern diese Entwicklungen aufrichtig – es schmerzt uns, dass unsere Kunden von Kriminellen bedroht und erneut Opfer von Cyberkriminellen werden.“

Es ist erwähnenswert, dass Lane und seine mutmaßlichen Komplizen, bevor sie PowerSchool ins Visier nahmen, im Jahr 2022 versuchten, ein US-Telekommunikationsunternehmen zu erpressen. Sie stahlen Kundendaten und forderten 200.000 Dollar, um deren Veröffentlichung zu verhindern, doch dieser Versuch war erfolglos.

Anschließend richtete die Gruppe ihre Aufmerksamkeit auf PowerSchool. Am 28. Dezember 2024 erhielt PowerSchool eine Bitcoin-Lösegeldforderung über rund 2,85 Millionen US-Dollar, verbunden mit der Drohung, die gestohlenen Daten zu veröffentlichen, falls die Zahlung nicht erfolgte.

Obwohl PowerSchool ein Lösegeld zahlte (der genaue Betrag ist noch nicht bestätigt), erhielten die betroffenen Schulbezirke weitere Forderungen, was PowerSchool dazu veranlasste, die Zahlung öffentlich bekannt zu geben. Diese anhaltenden Drohungen führten dazu, dass Hacker Schulen und Lehrer gezielt mit der Forderung nach weiteren Zahlungen ins Visier nahmen, wie Hackread damals berichtete.

Lane hat sich in jeweils einem Anklagepunkt schuldig bekannt: Verschwörung zur Cyber-Erpressung, Cyber-Erpressung, unbefugter Zugriff auf geschützte Computer und schwerer Identitätsdiebstahl. Im Falle einer Verurteilung drohen ihm erhebliche Strafen, darunter mögliche Gefängnisstrafen von zwei bis fünf Jahren, Geldstrafen von bis zu 250.000 US-Dollar und Bewährung.

Kimberly Milka, kommissarische Spezialagentin der Bostoner Abteilung des FBI , betonte die Entschlossenheit des FBI, Cyberkriminelle zur Verantwortung zu ziehen, und erklärte: „Matthew Lane dachte offenbar, er hätte einen Weg gefunden, schnell reich zu werden, doch nun wird diesem 19-Jährigen vorgeworfen, sich hinter seiner Tastatur versteckt zu haben, um sich unbefugten Zugriff zu verschaffen.“

Für Lane wurde noch kein Termin für eine Anhörung zu seinem Schuldbekenntnis anberaumt und er gilt als unschuldig, bis seine Schuld bewiesen ist.