Vazamento de dados da Frontline Education (fornecedora de software escolar): números de Seguro Social, de Medicaid e de estudante afetados, e o que funcionários e famílias devem fazer

A Frontline diz que está avisando as pessoas por e-mail ou pelo correio dos EUA, a partir de 26 de outubro de 2026 ou por volta dessa data. Seu aviso lista a central de atendimento da TransUnion no 1-800-759-7279, das 8h às 20h (horário do Leste), de segunda a sexta, exceto os principais feriados dos EUA.

A BleepingComputer relata que alguns administradores de distritos duvidaram no início de avisos enviados por um provedor externo de notificações, até que outros os confirmaram. Em caso de dúvida, abra você mesmo a página de avisos da Frontline e compare, em vez de usar um link da mensagem.

A Frontline diz que adultos nos EUA recebem a oferta de dois anos de monitoramento de crédito e proteção contra roubo de identidade pela TransUnion sem custo, e menores recebem monitoramento cibernético pela TransUnion. Sua página do incidente descreve isso como monitoramento da dark web para menores qualificados onde disponível. As instruções de inscrição estão no seu aviso.

A Frontline diz que nem ela nem a TransUnion pedirão que você pague por esses serviços. Trate qualquer pedido de pagamento como golpe.

Um congelamento de crédito impede que credores abram novo crédito em seu nome. A Comissão Federal de Comércio (FTC) diz que é gratuito fazer ou retirar e que não afeta sua pontuação de crédito, e que você o faz em cada uma de Equifax, Experian e TransUnion.

Para uma criança menor de 16 anos, a FTC diz que você pode solicitar um congelamento gratuito, com um processo diferente em cada bureau. Um congelamento importa muito aqui porque o número de Seguro Social está entre os dados que a empresa diz terem sido afetados (conforme a pessoa). Veja também o que fazer quando dados de documentos de identidade vazam.

A empresa diz que identificadores do Medicaid e de estudante estavam entre os dados afetados, conforme a pessoa. Uma mensagem que os cite, ou que cite o nome do seu filho e a escola, não provou ser genuína. A Frontline diz que nunca ligará nem escreverá para solicitar informações pessoais ou de contas.

Não siga o link. Ligue para seu distrito ou para a agência estadual do Medicaid usando um número do site oficial. Para o básico, veja O que é phishing?

A Frontline aconselha revisar extratos de contas e relatórios de crédito em busca de sinais de fraude e entrar em contato com a polícia local se suspeitar de roubo de identidade. O IdentityTheft.gov, da FTC, traz um plano de recuperação.

Como identificadores do Medicaid estavam entre os dados afetados para algumas pessoas, leia também quaisquer extratos de benefícios em busca de serviços que você não recebeu. O IRS oferece um PIN de Proteção de Identidade a quem tem número de Seguro Social e consegue verificar sua identidade, o que ajuda a impedir que alguém apresente uma declaração de imposto em seu nome.

Monte uma tabela de cada serviço que guarda identificadores de estudantes ou funcionários: fornecedor, produto, quais itens (número de Seguro Social, identificador do Medicaid, identificador de estudante, data de nascimento) e por quê. Comece pelos fornecedores que guardam números de Seguro Social ou identificadores de saúde, e pergunte se cada item é realmente necessário. Um item que não é armazenado não pode ser exposto.

O aviso da Frontline diz que ela avisou os distritos primeiro, e reportagens descrevem uma opção para os distritos escolherem, até uma data definida, que o fornecedor não cuidasse de suas notificações. Defina nos contratos quem notifica as pessoas, quem comunica aos órgãos reguladores e em quantos dias você deve ser informado, antes que um incidente aconteça.

Uma vulnerabilidade no software de um fornecedor é descrita como a porta de entrada para o ambiente do fornecedor. Pergunte aos fornecedores como acompanham e aplicam correções no software de terceiros que executam, e com que rapidez. Como referência, veja Linha de base de segurança para organizações.

Como os dados afetados incluem identificadores de crianças, tenha pronto um texto que diga o que o distrito sabe, quais contatos oficiais são reais e que o distrito não pedirá números de identificação por telefone. Uma mensagem clara reduz a chance de os golpes seguintes darem certo.