Informações pessoais de estudantes atuais e ex-alunos das escolas públicas da Califórnia foram copiadas de um sistema de transferência de arquivos da Educational Testing Service (ETS), segundo o Departamento de Educação da Califórnia (CDE).
A ETS é uma organização sem fins lucrativos que realiza, por contrato com o estado, avaliações exigidas por lei estadual e federal. A organização dá suporte aos programas de avaliação CAASPP (Avaliação de Desempenho e Progresso dos Estudantes da Califórnia) e ELPAC (Avaliação de Proficiência em Inglês da Califórnia) e utilizava um site de protocolo seguro de transferência de arquivos (SFTP) para compartilhar dados de testes com o CDE.
A organização identificou atividade não autorizada no site em 25 de setembro, mas o primeiro acesso remonta ao fim de maio.
“A investigação determinou que uma parte não autorizada usou uma credencial de acesso comprometida em diversos momentos entre 22 de maio de 2026 e 18 de setembro de 2026 para acessar o site SFTP e copiar arquivos contendo informações de estudantes da Califórnia”, segundo o comunicado de violação de dados do CDE.
Não foi informado um número de vítimas, mas o comunicado diz: “Informações sobre estudantes da Califórnia, incluindo, mas não se limitando a, todos os estudantes matriculados nos três anos letivos anteriores, foram acessadas e copiadas.”
Os próprios números de matrícula do CDE ajudam a dimensionar o caso: mais de 5,7 milhões de estudantes estavam matriculados em escolas públicas da Califórnia em 2025-2026. O documento de perguntas frequentes sobre o incidente do departamento informa que a população afetada também inclui estudantes que deixaram uma escola da Califórnia já em 2006 e cuja transferência para outra escola não foi confirmada junto ao CDE.
Os registros comprometidos podem incluir informações como nome do aluno, data de nascimento, endereço residencial, escola, distrito e série, números de identificação estaduais e locais, sexo, raça ou etnia, idioma principal, país de origem e situação de estudante de inglês.
Alguns registros vão além e revelam a condição de deficiência e o status pela Seção 504 (dispositivo da lei federal de reabilitação que garante direitos a estudantes com deficiência), o tipo principal de deficiência, adaptações em provas, dados de proficiência em inglês e informações de inscrição e resultados de testes. Eles também podem indicar se o estudante se enquadra no Título I (programa federal de apoio a escolas com alunos de baixa renda) ou nas categorias McKinney-Vento (lei federal de apoio a estudantes em situação de desabrigo) ou de filhos de militares.
O comunicado afirma que os arquivos não continham números do Seguro Social, senhas, dados de contas financeiras ou de cartões de pagamento. Também não foram afetadas informações de pais e responsáveis.
A ETS desativou a conta usada pelo invasor e tirou o site SFTP do ar. A resposta da empresa inclui a criação de um novo site com proteções mais robustas.
As comunicações oficiais não explicam como a credencial de acesso foi comprometida e não identificam o invasor.
“Após trabalhar com as autoridades policiais e com especialistas em segurança cibernética, a ETS tomou medidas para reduzir o risco potencial de os dados serem tornados publicamente acessíveis”, afirma o comunicado. A ETS não detalhou essas medidas, mas afirmou que o monitoramento da web feito pela empresa não encontrou, até agora, nenhuma evidência de que os dados tenham sido publicados.
O CDE informou superintendentes de condados e distritos escolares e administradores de escolas charter (instituições públicas com gestão independente) sobre o incidente em uma carta datada de 2 de outubro, duas semanas antes do início das notificações às famílias. Segundo a carta, a ETS suspendeu o processamento regular de dados de matrícula e parte dos trabalhos de testes enquanto a segurança de seus sistemas era avaliada.
