Vazamento na Califórnia expõe nomes, endereços e informações escolares de milhões de estudantes; alguns arquivos incluem deficiências e participação em programas sociais

Uma invasão a um sistema de transferência de arquivos da Educational Testing Service (ETS) resultou na cópia não autorizada de informações de milhões de estudantes da rede pública da Califórnia, nos Estados Unidos. Entre os dados envolvidos estão nomes, endereços residenciais e registros escolares. Em parte dos arquivos, também aparecem informações sobre deficiências e participação em programas de assistência.

Segundo notícia publicada pelo TecMundo, o incidente atingiu um serviço usado pela ETS para compartilhar relatórios com o governo estadual. O Departamento de Educação da Califórnia (CDE) confirmou o acesso indevido e publicou orientações para os estudantes e suas famílias.

A abrangência inclui alunos matriculados nos três anos letivos mais recentes e antigos estudantes que deixaram a rede pública desde 2006 sem confirmação de transferência. Isso não significa que todos tiveram as mesmas informações expostas: o conteúdo varia conforme os registros mantidos no sistema.

Quais dados dos estudantes foram atingidos

Os arquivos copiados reuniam informações de identificação, vínculo escolar e acompanhamento educacional. Conforme o comunicado oficial, o conjunto pode incluir:

Nem todos os estudantes tiveram todas essas categorias de dados comprometidas. Ainda assim, a presença de informações sobre deficiências e assistência torna a exposição mais ampla do que um vazamento de nomes e contatos.

O CDE informou que os arquivos não continham números de Seguro Social, senhas, dados de contas financeiras ou cartões de pagamento. Informações pessoais de pais e responsáveis também ficaram fora do incidente.

Essa exclusão não permite afirmar que nenhum dado sensível foi atingido. Informações sobre deficiências e origem racial ou étnica, por exemplo, dizem respeito à privacidade dos estudantes, independentemente da presença de dados bancários.

Acesso ocorreu com credenciais comprometidas

De acordo com as informações divulgadas pelas autoridades, o invasor utilizou credenciais comprometidas para entrar no servidor SFTP, um serviço de transferência de arquivos. A identificação desse meio de acesso não demonstra, por si só, uma falha no protocolo SFTP.

A ETS presta serviços relacionados às avaliações escolares da Califórnia. Portanto, o sistema afetado era utilizado no intercâmbio de documentos ligados a essas atividades — não há indicação de que se tratasse de um ambiente experimental de desenvolvimento.

A sequência divulgada ajuda a entender o intervalo entre a invasão, a descoberta e os avisos:

A carta enviada aos distritos também relatou interrupções no processamento de dados e em parte das atividades de avaliação enquanto a segurança era examinada.

Por que o risco vai além de movimentações financeiras

Um registro que combina nome, escola e endereço pode tornar uma abordagem falsa mais convincente. Um golpista que conheça esses detalhes pode tentar se passar por uma instituição de ensino ou por um serviço relacionado ao estudante.

Esse é um risco possível decorrente da exposição, não uma confirmação de que os arquivos já tenham sido usados em fraudes. Informações sobre deficiências ou participação em programas também podem revelar aspectos da vida pessoal que as famílias não escolheram divulgar.

Há outra distinção importante: a ausência de publicação dos arquivos na internet não desfaz a cópia não autorizada. A ETS informou que, até o comunicado, não havia encontrado evidências de divulgação pública. Isso descreve o resultado do monitoramento, mas não significa que o acesso indevido deixou de acontecer.

ETS oferece dois anos de proteção de identidade

Para conter o incidente, a ETS desativou a conta utilizada pelo invasor e retirou o servidor do ar. A organização também informou que trabalha em uma plataforma substituta com controles de segurança reforçados.

Os avisos individuais começaram em 16 de outubro, com previsão de continuidade até o início de novembro. Os afetados terão acesso gratuito a dois anos de serviços de proteção e monitoramento de identidade, incluindo antigos estudantes que hoje são adultos.

Na página oficial de perguntas e respostas, o CDE esclarece que ainda não ter recebido uma notificação não comprova que a pessoa ficou fora do vazamento. O órgão também informa que a adesão ao serviço gratuito não exige cartão de crédito.

As famílias podem consultar as orientações no site oficial do Departamento de Educação da Califórnia. Mensagens inesperadas que mencionem a escola ou o incidente merecem verificação por um canal conhecido antes do fornecimento de qualquer informação.

Fonte: Tecmundo

Leia também: Einstein avisa pacientes de vazamento: como reconhecer golpe com exame falso.