ETS confirma invasão que expõe dados de milhões de estudantes
O ataque atingiu alunos da rede pública da Califórnia e pode envolver endereços, notas e dados sobre deficiência; números de Seguro Social não foram copiados.
Resumo em 30 segundos
Uma invasão a um servidor da ETS expôs dados de milhões de estudantes e ex-alunos da rede pública da Califórnia. Os arquivos podem incluir informações pessoais, escolares e, em alguns casos, notas e dados sobre deficiência. A empresa desativou a conta usada no acesso e oferece dois anos de monitoramento de identidade aos afetados.
Uma invasão a um servidor de transferência de arquivos da Educational Testing Service (ETS) expôs dados de milhões de estudantes e ex-alunos da rede pública da Califórnia, nos Estados Unidos. O acesso indevido ocorreu entre 22 de maio e 18 de setembro, e foi detectado pelas autoridades em 25 de setembro.
O invasor usou credenciais comprometidas para acessar o sistema, utilizado pela ETS para compartilhar relatórios com o Departamento de Educação da Califórnia (CDE). A organização é responsável pela aplicação de exames estaduais e federais no estado. O incidente afeta alunos matriculados nos últimos três anos letivos e pessoas que deixaram a rede pública desde 2006 sem que a transferência escolar tivesse sido confirmada.
Entre os dados copiados estão nomes, datas de nascimento, endereços, escolas, séries, distritos e números de identificação estudantil estaduais e locais. Também foram expostos dados como gênero, raça ou etnia, idioma principal e situação de aprendizagem do inglês. Em alguns casos, os arquivos incluíam informações sobre deficiências, adaptações para provas, notas em avaliações e participação em programas sociais ou de assistência.
O CDE e a ETS afirmaram que não foram comprometidos números de Seguro Social, senhas, dados de contas bancárias ou cartões de pagamento. Informações de pais e responsáveis também não foram afetadas. A ETS disse ter trabalhado com autoridades e especialistas em segurança digital para reduzir o risco de que os registros se tornassem públicos.
Como resposta, a empresa desativou a conta usada no acesso e retirou o servidor do ar. Também começou a desenvolver uma plataforma substituta com requisitos de segurança mais rigorosos. Monitoramentos da ETS indicam que, até o momento, os dados não foram publicados nem colocados à venda.
A interrupção afetou o processamento habitual de dados de estudantes e levou à suspensão de parte dos exames enquanto os sistemas eram avaliados. Em carta enviada em 2 de outubro a administradores escolares e superintendentes de distritos, o CDE disse que trabalhava para reduzir as interrupções e retomar as avaliações afetadas.
Os avisos aos estudantes atingidos e às famílias começaram a ser enviados em 16 de outubro e devem continuar até o início de novembro. A ETS oferece gratuitamente dois anos de proteção e monitoramento de identidade às pessoas afetadas.
O servidor envolvido era um sistema de protocolo seguro de transferência de arquivos, conhecido pela sigla SFTP. Esse tipo de serviço permite a troca de documentos entre organizações, mas o acesso depende de credenciais autorizadas. Neste caso, o uso de credenciais comprometidas permitiu a entrada indevida no ambiente que armazenava os relatórios.
