Falha em servidor de testes expõe dados de milhões de estudantes nos EUA

A invasão de um sistema de transferência de arquivos mantido pela Educational Testing Service (ETS), organização responsável pela aplicação de exames estaduais e federais na Califórnia, nos Estados Unidos, resultou na cópia não autorizada de dados de milhões de alunos e egressos das escolas públicas do estado. O vazamento afeta matriculados nos últimos três anos letivos e estudantes que deixaram a rede pública desde 2006 e não tiveram a transferência confirmada. O Departamento de Educação da Califórnia (CDE, na sigla em inglês) confirmou que a invasão ocorreu entre 22 de maio e 18 de setembro. Um invasor utilizou credenciais de acesso comprometidas para ingressar no servidor de protocolo seguro de transferência de arquivos (SFTP), usado pela instituição para compartilhar relatórios com o governo estadual.

A atividade suspeita foi detectada no dia 25 de setembro. Em posicionamento enviado à imprensa, a ETS informou que tomou providências para conter a exposição dos registros: “Após trabalhar com as autoridades e especialistas em cibersegurança, a ETS tomou medidas para reduzir o risco potencial de os dados tornarem-se acessíveis publicamente”, declarou a instituição. Alcance das informações copiadasEntre os arquivos copiados estão nomes de alunos, datas de nascimento, endereços residenciais, escolas, distritos, séries, números de identificação estadual e local, gênero, raça ou etnia, idioma primário e status de aprendiz de inglês. Em determinados casos, o vazamento alcançou relatórios sobre deficiências, acomodações para testes, notas em avaliações e enquadramento em programas sociais ou de assistência. As autoridades estaduais e a instituição ressaltaram que dados financeiros e sensíveis não foram atingidos. O CDE informou em comunicado que “os arquivos não continham números de Seguro Social, senhas ou detalhes de contas financeiras e cartões de pagamento”, e ressaltou que “informações sobre pais ou responsáveis tampouco foram envolvidas”. Para conter o incidente, a instituição desativou a conta utilizada na invasão, tirou o servidor de arquivos do ar e iniciou o desenvolvimento de uma plataforma substituta com requisitos de segurança mais rigorosos.

Monitoramentos de rotina realizados pela empresa no ambiente digital indicam que, até o momento, os dados roubados não foram publicados ou comercializados. Notificação às famílias e suspensão de rotinasOs administradores escolares e superintendentes dos distritos da Califórnia foram informados sobre o caso em carta enviada no dia 2 de outubro. Segundo o documento, a ETS interrompeu o processamento regular de dados de matriculados e suspendeu parte dos exames enquanto a segurança dos sistemas era avaliada. Na mesma correspondência, o Departamento de Educação da Califórnia relatou que a prioridade era conter falhas de funcionalidade: “O CDE está trabalhando ativamente para minimizar interrupções e retomar as atividades de avaliação afetadas em tempo hábil”. O envio de alertas diretos aos estudantes impactados e às famílias começou em 16 de outubro e prosseguirá até o início de novembro. Como medida de mitigação, a ETS oferece gratuitamente dois anos de serviços de proteção e monitoramento de identidade para todos os afetados pela violação de dados.