O Departamento de Educação da Califórnia (CDE) notificou estudantes e famílias sobre uma violação de dados em um de seus contratados, o Educational Testing Service (ETS). A violação de dados de estudantes da Califórnia na ETS é um lembrete de que a privacidade dos registros escolares depende de todas as empresas que os manipulam, não apenas das próprias escolas.

O CDE está distribuindo o Aviso de Violação de Dados da ETS para ajudar a garantir que as pessoas afetadas recebam informações sobre o incidente e o suporte disponível para elas. Aqui está o que foi relatado até agora, e o que as famílias podem fazer a respeito.

O que aconteceu no Educational Testing Service

De acordo com relatos sobre o incidente, uma parte não autorizada usou um login comprometido para acessar um site de transferência de arquivos operado pela ETS, a organização sem fins lucrativos que realiza testes para o estado. A cobertura indica que o invasor copiou registros de estudantes entre 22 de maio e 18 de setembro. Essa é uma janela de aproximadamente quatro meses na qual uma única credencial roubada parece ter permanecido útil.

Esse detalhe importa. O incidente não foi descrito como uma invasão sofisticada aos sistemas do próprio estado. Envolveu um login e um site de transferência de arquivos usado para mover dados de testes entre organizações. Credenciais roubadas, reutilizadas ou deixadas sem proteções fortes estão entre as formas mais comuns de os atacantes entrarem em sistemas, e o acesso de longa duração pode passar despercebido sem monitoramento rigoroso.

Um comentarista de segurança citado na cobertura estimou o número de registros de estudantes comprometidos em sete milhões, e descreveu os graves riscos comerciais e de responsabilidade que tal comprometimento cria para organizações que mantêm dados de estudantes. Os números exatos podem ser refinados à medida que a investigação continua, portanto, trate os números iniciais como preliminares.

Quais dados de estudantes foram expostos e quem está em risco

Relatos dizem que as informações roubadas incluem nomes, datas de nascimento, status de deficiência e resultados de testes de estudantes da Califórnia. Cada um deles carrega riscos diferentes:

  • Nomes e datas de nascimento são blocos de construção essenciais para roubo de identidade e para tentativas convincentes de personificação.
  • Status de deficiência é altamente sensível. Diferentemente de uma senha, não pode ser alterado, e sua exposição pode causar danos muito além da fraude financeira.
  • Resultados de testes são registros educacionais que as famílias razoavelmente esperam que permaneçam privados.

As pessoas mais afetadas são estudantes da Califórnia cujos dados de testes passaram pelo site de transferência de arquivos da ETS, o que pode incluir estudantes atuais e, potencialmente, ex-estudantes, dependendo de por quanto tempo os registros foram mantidos. Jovens são um alvo especialmente atraente para ladrões de identidade porque frequentemente não têm histórico de crédito, então o uso indevido pode passar despercebido por anos.

Se você recebeu um aviso do CDE ou da ETS, leve-o a sério e leia-o com atenção. O aviso é a fonte mais confiável sobre o que se aplica a você e quais serviços estão sendo oferecidos.

Por que os contratados de educação são um elo fraco

Escolas e agências estaduais raramente operam todos os sistemas por conta própria. Testes, plataformas de aprendizagem e processamento de dados são frequentemente terceirizados, o que significa que as informações dos estudantes são copiadas para sistemas operados por outras organizações. Cada transferência cria outro lugar onde os dados podem ser expostos, e as famílias geralmente não têm voz sobre quais fornecedores são usados.

Esta violação segue um padrão. Cobrimos como uma segunda violação de dados do Canvas interrompeu exames na Penn State e além, outro caso em que um provedor de tecnologia que serve muitas instituições se tornou o ponto de falha. Quando um fornecedor atende milhões de estudantes, uma fraqueza pode afetar todos eles de uma só vez.

Três perguntas valem a pena ser feitas a qualquer fornecedor de educação:

  1. Por quanto tempo os dados são mantidos? Registros que não são mais necessários devem ser excluídos. Arquivos antigos parados em um site de transferência são uma responsabilidade.
  2. Como o acesso é protegido? Um único login roubado não deveria ser suficiente para acessar milhões de registros.
  3. Com que rapidez as anomalias são detectadas? Acesso que persiste por meses sugere lacunas de monitoramento que merecem exame.

O que isso significa para você

Se você é pai, mãe, responsável ou estudante na Califórnia, não precisa entrar em pânico, mas deve agir. Os dados supostamente envolvidos são informações pessoais estáveis, então o risco pode durar muito depois que o ciclo de notícias passar.

Uma VPN não protege contra esse tipo de violação, já que os dados foram obtidos do servidor de um fornecedor e não da sua conexão. As defesas mais úteis são as listadas abaixo.

  • Congele o crédito. O congelamento de crédito é gratuito e bloqueia a maioria das tentativas de abrir novas contas em nome de um estudante. Os pais geralmente podem solicitar congelamentos para menores; verifique os procedimentos dos birôs de crédito para o processo.
  • Fique atento a phishing. Atacantes que conhecem o nome, a data de nascimento e o contexto escolar de um estudante podem escrever mensagens muito convincentes. Desconfie de e-mails ou textos inesperados sobre testes, bolsas de estudo ou a própria violação, e vá diretamente aos sites oficiais em vez de clicar em links.
  • Use o suporte oferecido. Se o aviso incluir monitoramento ou assistência, inscreva-se prontamente e guarde uma cópia do aviso.
  • Proteja as contas. Use senhas exclusivas e autenticação multifator no e-mail e nas contas escolares, já que o e-mail geralmente é a chave para redefinir todo o resto.
  • Mantenha registros. Anote datas, avisos e qualquer atividade suspeita, caso precise contestar fraudes mais tarde.

Principais conclusões práticas

A violação de dados de estudantes da Califórnia na ETS mostra que a força das promessas de privacidade de uma escola é limitada pelo seu fornecedor mais fraco. As famílias não podem resolver isso sozinhas, mas podem reduzir os danos e pressionar por melhores práticas.

  • Congele o crédito dos estudantes afetados e dos adultos do domicílio.
  • Trate mensagens inesperadas sobre testes ou a violação como suspeitas até serem verificadas por canais oficiais.
  • Pergunte à sua escola, distrito e qualquer fornecedor por quanto tempo os dados dos estudantes são retidos e quem tem acesso a eles.
  • Acompanhe as atualizações do CDE e da ETS à medida que a investigação avança.

Esta não é a primeira vez que a tecnologia educacional é atingida, e os incidentes do Canvas sugerem que não será a última. Manter-se informado e fazer perguntas diretas sobre retenção de dados é um dos passos mais práticos que as famílias podem tomar.