O uso de credenciais de login comprometidas levou ao roubo de informações pessoais pertencentes a estudantes atuais e anteriores das escolas públicas do estado da Califórnia, por meio do sistema de transferência de arquivos da Educational Testing Service (ETS), de acordo com um anúncio do Departamento de Educação da Califórnia (CDE).
A ETS é uma organização sem fins lucrativos que administra testes exigidos pelo estado e pelo governo federal sob contratos oficiais, apoiando os programas de avaliação do estado (CAASPP e ELPAC) e contando com um site de Protocolo Seguro de Transferência de Arquivos (SFTP) para compartilhar dados de testes com o Departamento de Educação. A organização detectou atividade incomum no site em 25 de setembro, enquanto as investigações indicam que os acessos iniciais remontam ao final do mês de maio.
O aviso de violação emitido pelo Departamento de Educação indicou que uma parte não autorizada usou credenciais de login comprometidas em momentos variados entre 22 de maio de 2026 e 18 de setembro de 2026 para acessar o servidor SFTP e copiar arquivos contendo dados de estudantes. Embora não tenha fornecido um número exato de vítimas, o aviso confirma que as informações de estudantes matriculados nos últimos três anos letivos foram totalmente acessadas e copiadas, além do impacto se estender a estudantes que deixaram as escolas da Califórnia desde 2006 sem confirmação oficial de transferência.
O que os dados vazados incluem?
Os registros acessados incluíam vários detalhes, como nomes de estudantes, datas de nascimento, endereços residenciais, escolas, distritos e séries, números de identificação locais e estaduais, gênero, raça ou etnia, idioma principal, país de origem e status de aprendizado de inglês. Algumas entradas também continham informações sobre condições de deficiência e classificações da Seção 504, arranjos de testes, dados de proficiência no idioma, pontuações e exclusões de registro em testes, além de indicadores de elegibilidade para vários programas de apoio.
As autoridades oficiais esclareceram que os arquivos vazados não continham números de Seguro Social, senhas, detalhes financeiros e cartões de pagamento, nem a violação afetou dados de pais e responsáveis.
Resposta e medidas técnicas
Após a descoberta, a ETS encerrou a conta usada na violação e desativou completamente o site SFTP, além de iniciar a construção de um site substituto equipado com controles de segurança mais rigorosos. A organização trabalhou com especialistas em segurança cibernética e autoridades policiais para mitigar o risco de publicação de dados na internet, enfatizando que o monitoramento de rede não encontrou até o momento nenhuma evidência de vazamento público de dados.
Em relação às notificações, o Departamento de Educação informou diretores de escolas e distritos educacionais em 2 de outubro, enquanto o processo de envio de avisos individuais aos estudantes afetados começou em 16 do mesmo mês e deve continuar até o início de novembro, coincidindo com a suspensão temporária do processamento de dados de matrícula e alguns trabalhos de testes até que a segurança dos sistemas seja avaliada.