Para: famílias de estudantes atuais e antigos de escolas públicas da Califórnia, ex-estudantes que hoje são adultos, e escolas e fornecedores que guardam registros de estudantes. Este artigo se baseia no Aviso de Vazamento de Dados da ETS registrado junto ao Procurador-Geral da Califórnia e no comunicado do CDE, e não aborda técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
- Quem é afetado
famílias de estudantes atuais e antigos de escolas públicas da Califórnia, ex-estudantes que hoje são adultos, e escolas e fornecedores que guardam registros de estudantes.
- Confirmado até agoraVer a tabela ↓
- Período de acesso
- Quem está incluído
- Nome, data de nascimento, endereço, escola, distrito, série
Mais 5
- SSID e ID local do estudante
- Gênero, raça ou etnia, idioma, país de origem, condição de aprendiz de inglês
- Deficiência e status da Seção 504, adaptações nas provas, tipo principal de deficiência
- Elegibilidade para programas (Title I, McKinney-Vento, Military Connected)
- Proficiência em inglês e inscrição, participação e resultados das provas
- Ainda não confirmado
- Número de estudantes afetados
- Até que ano os registros copiados retrocedem
- Como a credencial de login foi comprometida
Mais 2
- Se os dados chegam a ser publicados
- Resultado da revisão do CDE e do Conselho Estadual de Educação
- O que fazer agoraVer os passos ↓
- Considere que o aviso se aplica ao seu filho
- Inscreva-se gratuitamente no Experian IdentityWorks com o código da carta
- Não confie em ligações ou mensagens porque mencionam a escola ou as provas
Mais 2
- Tenha cuidado com quem você discute dados de deficiência e adaptações
- Congelar o crédito do seu filho é opcional; o aviso não exige
- Onde verificar (fonte)Todas as fontes ↓
- ETS, «Notice of Data Breach» (modelo registrado junto ao Procurador-Geral da Califórnia, PDF, em inglês)
- Última verificação
- Em 31 de outubro de 2026
Próximos avisos e o que verificamos
O CDE diz que sua página sobre o incidente da ETS será atualizada se houver informações adicionais. Em 31 de outubro de 2026, a ETS e o CDE não haviam divulgado um número. O CDE disse que os avisos começaram em 16 de outubro e deveriam continuar até o início de novembro.
O que as famílias e os ex-estudantes devem fazer hoje
Considere que o aviso se aplica ao seu filho
O aviso diz que informações de estudantes da Califórnia, incluindo, mas não se limitando a, todos os estudantes matriculados nos três anos letivos anteriores, foram acessadas e copiadas. A ETS aplica as provas exigidas pelo estado aos estudantes das escolas públicas da Califórnia. Se seu filho frequentou uma nesse período, ou se você mesmo frequentou, considere-se incluído mesmo antes de chegar uma carta.
Para conferir, use a página do CDE, cde.ca.gov/ets, digitando o endereço você mesmo no navegador, ou ligue para o número do aviso (833-931-8488, de segunda a sexta, das 6h às 18h no horário do Pacífico, exceto nos principais feriados dos EUA). O aviso está disponível em vários idiomas na página do CDE.
Inscreva-se gratuitamente no Experian IdentityWorks com o código da carta
A ETS oferece dois anos de Experian IdentityWorks sem custo. Para estudantes menores de 18 anos, um dos pais ou responsável faz a inscrição no produto para menores. Estudantes que já têm 18 anos ou mais se inscrevem sozinhos no produto para adultos. O código de ativação está na carta, e nenhum cartão de crédito é solicitado.
O texto principal do aviso indica 19 de março de 2027 como prazo de inscrição (o anexo para adultos também mostra 19 de março de 2029). Menores que completarem 18 anos até 19 de março de 2029 podem se inscrever no produto para adultos no dia em que fizerem 18 anos. A ETS alerta para sites falsos de proteção de identidade: digite você mesmo o endereço da Experian impresso na sua carta, em vez de seguir um link de e-mail ou SMS.
Não confie em ligações ou mensagens porque mencionam a escola ou as provas
Os dados copiados podem incluir a escola, a série, identificadores de estudante e resultados das provas. Uma mensagem que os cite pode parecer legítima. A ETS pede cautela com e-mails, SMS ou ligações inesperados que mencionem a escola de um estudante, as provas estaduais ou este incidente, e que não se compartilhem informações pessoais, senhas ou informações financeiras em resposta.
Se uma mensagem pedir para confirmar os dados do seu filho ou pagar algo, feche-a e ligue para a escola ou o distrito em um número do site oficial (como reconhecer: O que é phishing?).
Tenha cuidado com quem você discute dados de deficiência e adaptações
Os dados podem incluir deficiência e status da Seção 504, adaptações nas provas e o tipo principal de deficiência. Eles não podem ser trocados como uma senha. Desconfie de quem entrar em contato primeiro e mencionar a deficiência, o plano de apoio ou as adaptações do seu filho, por exemplo oferecendo serviços ou pedindo registros. Confirme com a escola antes de compartilhar qualquer coisa.
Congelar o crédito do seu filho é opcional; o aviso não exige
A ETS diz que números de Seguro Social não foram incluídos. Ainda assim, as orientações gerais do aviso explicam que é possível congelar gratuitamente o histórico de crédito de uma criança menor de 16 anos na Equifax, na Experian e na TransUnion. É uma precaução que você pode escolher; o aviso não diz que é necessária neste incidente.
O que aconteceu (segundo o aviso da ETS)
O que segue se baseia no Aviso de Vazamento de Dados da ETS, conforme registrado junto ao Procurador-Geral da Califórnia, e no comunicado à imprensa do CDE de 16 de outubro de 2026. A ETS é uma organização de avaliação sem fins lucrativos com contrato com o estado da Califórnia para a California Assessment of Student Performance and Progress (CAASPP) e as English Language Proficiency Assessments for California (ELPAC).
Departamento de Educação da Califórnia
Troca informações das provas estaduais com a ETS
↓→
Site SFTP da ETS
Acessado com uma credencial comprometida; arquivos copiados
↓→
Registros de estudantes
Dados demográficos, de programas, de deficiência e de provas
Como a credencial foi comprometida não foi divulgado.
22 de maio a 18 de setembro de 2026
Segundo a ETS, um terceiro não autorizado usou uma credencial de login comprometida em vários momentos desse período para acessar um site SFTP da ETS usado para trocar informações das provas estaduais com o CDE, e copiou arquivos com informações de estudantes da Califórnia.25 de setembro
A ETS identifica a atividade não autorizada. Desativa a conta envolvida, tira o site SFTP do ar e inicia uma investigação com especialistas externos em cibersegurança.16 de outubro
A ETS começa a notificar estudantes e famílias por orientação do CDE. O CDE publica um comunicado; a lista do Procurador-Geral da Califórnia mostra o registro em nome de «CDE», com data do vazamento em 22 de maio de 2026.Início de novembro (previsto)
O CDE disse que o envio dos avisos deveria continuar até o início de novembro.
- Organização
- Educational Testing Service (ETS), organização sem fins lucrativos com contrato com o estado da Califórnia para as provas exigidas pelo estado e pelo governo federal nas escolas públicas
- Sistema
- Um site SFTP da ETS usado para trocar informações das provas estaduais com o CDE
- Quem
- Informações de estudantes da Califórnia, incluindo, mas não se limitando a, todos os estudantes matriculados nos três anos letivos anteriores
- Dados (variam conforme o estudante)
- Nome, data de nascimento, endereço residencial, escola, distrito, série; SSID e ID local do estudante; gênero, raça ou etnia, idioma principal, país de origem, condição de aprendiz de inglês; deficiência e status da Seção 504, adaptações nas provas, tipo principal de deficiência; elegibilidade para Title I Part A, Title I Part C, McKinney-Vento e Military Connected Student; informações de proficiência em inglês e inscrição, participação e resultados das provas
- Não incluídos (ETS)
- Números de Seguro Social, números de carteira de motorista e de passaporte, informações de contas financeiras, informações de cartões de crédito ou débito, senhas de contas. Informações pessoais de pais ou responsáveis não foram afetadas
- Exposição pública
- A ETS diz que, após monitoramento regular da web, até agora não encontrou evidências de que as informações tenham sido tornadas públicas, e que tomou medidas com as autoridades e especialistas para reduzir esse risco
- Resposta
- Conta desativada, site tirado do ar, um site SFTP totalmente novo criado com controles de segurança mais fortes, autoridades notificadas
- Resposta do estado
- O CDE e o Conselho Estadual de Educação trabalham com especialistas estaduais em cibersegurança; o California Cybersecurity Integration Center ajuda na perícia forense. O CDE e o Conselho também revisam o incidente e o cumprimento, pela ETS, dos requisitos de segurança de dados e contratuais
O que se sabe e o que não se sabe
Situação em 31 de outubro de 2026. Quando a ETS ou o CDE divulgarem mais, a coluna de status será reescrita.
| Item | O que diz o aviso | Status |
|---|---|---|
| Período de acesso | Credencial comprometida usada em vários momentos entre 22 de maio e 18 de setembro de 2026 | Confirmado (ETS) |
| Quem está incluído | Estudantes da Califórnia, incluindo, mas não se limitando a, todos os matriculados nos três anos letivos anteriores | Confirmado (ETS) |
| Nome, data de nascimento, endereço, escola, distrito, série | Cópia dos arquivos confirmada; este item pode estar incluído (varia conforme o estudante) | Vazamento confirmado (ETS; os itens variam conforme o estudante) |
| SSID e ID local do estudante | Pode estar incluído (varia conforme o estudante) | Vazamento confirmado (ETS; os itens variam conforme o estudante) |
| Gênero, raça ou etnia, idioma, país de origem, condição de aprendiz de inglês | Pode estar incluído (varia conforme o estudante) | Vazamento confirmado (ETS; os itens variam conforme o estudante) |
| Deficiência e status da Seção 504, adaptações nas provas, tipo principal de deficiência | Pode estar incluído (varia conforme o estudante) | Vazamento confirmado (ETS; os itens variam conforme o estudante) |
| Elegibilidade para programas (Title I, McKinney-Vento, Military Connected) | Pode estar incluído (varia conforme o estudante) | Vazamento confirmado (ETS; os itens variam conforme o estudante) |
| Proficiência em inglês e inscrição, participação e resultados das provas | Pode estar incluído, quando aplicável | Vazamento confirmado (ETS; os itens variam conforme o estudante) |
| Números de Seguro Social, de carteira de motorista e de passaporte, dados financeiros e de cartões, senhas | Não incluídos | Não incluído (ETS) |
| Informações de pais ou responsáveis | Não afetadas | Não incluído (ETS) |
| Publicação dos dados | Nenhuma evidência até agora pelo monitoramento da web | Não confirmado (ETS) |
| Número de estudantes | Não informado | Não informado |
| Como a credencial foi comprometida | Não informado | Não informado |
Como ler isto: as estimativas da imprensa não são oficiais
Algumas reportagens trazem estimativas de quantos estudantes foram afetados, e os números variam entre os veículos. A ETS e o CDE não divulgaram um número, então este artigo não usa nenhum. A expressão «incluindo, mas não se limitando a» do aviso significa que estudantes fora da janela de três anos também podem estar incluídos.
Ao que essa combinação de dados pode levar
Em geral, combinações como as seguintes podem ser usadas indevidamente. Isso não significa que tenha acontecido aqui.
- Nome + escola + série + ID do estudante: uma mensagem convincente se passando pela escola, pelo distrito ou por um programa de provas
- Deficiência, status 504 e adaptações: abordagens que exploram as preocupações de uma família, como ofertas de serviços pagos ou pedidos de registros
- Endereço + data de nascimento: um ponto de partida para se passar pela pessoa, mesmo sem número de Seguro Social
- O próprio incidente: mensagens falsas do tipo «resgate sua proteção» ou «verifique seu filho» que imitam a aparência do aviso real
Para escolas e fornecedores que guardam registros de estudantes
O aviso não diz como a credencial de login foi comprometida, então esta seção não julga a segurança da ETS. Ela trata do que os fatos divulgados permitem que outras organizações verifiquem.
- Encontre sistemas em que um único login abre arquivos de muitos estudantes. Aqui, uma única conta em um site de troca de arquivos deu acesso a arquivos com estudantes de todo o estado. Liste sites de transferência de arquivos, pastas compartilhadas e exportações, e quem tem contas neles.
- Fique atento a acessos prolongados. A credencial foi usada em vários momentos ao longo de cerca de quatro meses antes de a atividade ser identificada. Verifique se logins e downloads nos sistemas de troca de arquivos são registrados e revisados.
- Envie apenas os campos de que a tarefa precisa. Os arquivos incluíam dados de deficiência e de programas junto com os dados das provas. Revise se cada troca de dados precisa de todos os campos que transporta.
Fontes (registro público)
Os fatos deste artigo se baseiam nas informações públicas abaixo. As estimativas da imprensa sobre o número de estudantes não são usadas.
- ETS, «Notice of Data Breach» (modelo registrado junto ao Procurador-Geral da Califórnia, PDF, em inglês) — oag.ca.gov
- Procurador-Geral da Califórnia, registro na lista de vazamentos de dados (organização «CDE», data do vazamento 22 de maio de 2026, notificado em 16 de outubro de 2026) — oag.ca.gov
- Departamento de Educação da Califórnia, comunicado à imprensa #26-45, «ETS Begins Notifying California Students and Families Following Data Security Incident» (16 de outubro de 2026, em inglês) — cde.ca.gov
- Departamento de Educação da Califórnia, página de informações sobre o incidente da ETS — cde.ca.gov/ets
- Comissão Federal de Comércio dos EUA (FTC), «Credit Freezes and Fraud Alerts» (em inglês) — consumer.ftc.gov
Histórico de atualizações
2026-10-31: Primeira versão, baseada no Aviso de Vazamento de Dados da ETS registrado junto ao Procurador-Geral da Califórnia e no comunicado do CDE de 16 de outubro. Nenhum número foi divulgado. O artigo será atualizado quando a ETS ou o CDE divulgarem mais.
Leia a seguir
- Outro vazamento de um fornecedor escolar dos EUA: Vazamento de dados da Frontline Education
- Dados de auxílio estudantil: Invasão do site de auxílio estudantil do Departamento de Educação da Flórida
- Outro aviso de um fornecedor da Califórnia: Vazamento de dados do Medi-Cal da Paradigm Healthcare Services
- Reconhecer golpes posteriores: O que é phishing?
- Outros incidentes de 2026: Vazamentos de dados e ciberataques de 2026 (em inglês)