Para: alunos, pais e professores na Austrália e na Nova Zelândia que usam (ou usaram) a plataforma de aprendizado de matemática Mathspace, incluindo famílias que se mudaram de outro país, além de equipes de TI escolar e de quem administra algum serviço educacional.
Este artigo se baseia na postagem oficial de blog da Mathspace e em orientações do Office of the Australian Information Commissioner (OAIC) e do Office of the Privacy Commissioner da Nova Zelândia, e não trata de técnicas de ataque.
O que pais e alunos devem fazer
Não façam login a partir de links em mensagens que digam ser da Mathspace ou da escola
A Mathspace alerta que nomes, endereços de e-mail e dados de contas tornam as tentativas de se passar por outra pessoa mais convincentes, e pede que as pessoas continuem cautelosas mesmo que uma mensagem use o seu nome ou cite corretamente a sua escola ou este incidente. Para verificar, abra o site ou o aplicativo da Mathspace por conta própria, ou use os dados de contato que você encontrou separadamente em um site oficial (noções básicas: O que é phishing?).
Combinem com seu filho: códigos e senhas nunca são compartilhados
A Mathspace diz para não divulgar senhas nem códigos de verificação em resposta a uma mensagem, e orienta os alunos que não sabem o que fazer a perguntar a um pai, responsável ou professor.
Crianças tendem a obedecer a qualquer coisa apresentada como "do seu professor" ou "sobre o seu dever de casa". Se avisos em inglês são difíceis de acompanhar em casa, garantir que seu filho entenda essa única regra já cobre a maior parte do risco.
Se você reutilizou a senha em outro lugar, troque-a por lá
A Mathspace não exige redefinição de senha por causa deste incidente, mas, se você reutilizou sua senha da Mathspace em outro serviço, troque essa senha por uma senha exclusiva.
O OAIC também recomenda, quando dados de contato são expostos, usar senhas fortes para o e-mail que você não tenha usado em outro lugar e ativar a autenticação multifator sempre que possível (Como escolher um gerenciador de senhas).
Fiquem atentos a e-mails de redefinição de senha que vocês não solicitaram
A Mathspace pede que as pessoas prestem atenção a e-mails inesperados de redefinição de senha ou a alterações nos dados da conta, e que troquem a senha e entrem em contato com a empresa se notarem atividade suspeita.
Para verificar, escrevam um novo e-mail ao endereço oficial
A Mathspace diz para iniciar um novo e-mail para data-breach-response@mathspace.co em vez de responder à mensagem, ou para acessar o site por conta própria e usar os canais de suporte. Diz que ex-usuários ou usuários inativos também podem ser afetados, e que eles também podem perguntar.
Saibam onde buscar ajuda
O OAIC indica o Scamwatch, o site de informações sobre golpes do governo australiano, para ajudar a reconhecer golpes.
O Office of the Privacy Commissioner da Nova Zelândia diz que você pode entrar em contato com o NCSC para orientação sobre um problema de segurança cibernética, e indica o serviço de apoio IDCARE caso você esteja preocupado com uso indevido de identidade. Para a segurança online de crianças, a própria Mathspace indica o eSafety Commissioner da Austrália. Se você se sentir em perigo, entre em contato com a polícia (111 na Nova Zelândia).
O que a equipe de TI escolar deve fazer
Peçam os números e registros da escola
Segundo a Mathspace, administradores escolares podem escrever para data-breach-response@mathspace.co para solicitar o número de alunos, funcionários e pais ou responsáveis afetados associados à sua escola, ou detalhes dos registros afetados; a empresa organizará o compartilhamento seguro quando forem necessários registros individuais.
As escolas também podem solicitar um relatório de incidente ou forense.
Presumam que o domínio de e-mail pode revelar a sua escola
A empresa diz que os dados expostos não incluíram registros que vinculem contas de usuários às suas escolas, mas que, para escolas com domínios de e-mail identificáveis, isso pode ser possível. Espere mensagens falsas que usem o nome da sua escola, e informe claramente aos pais por quais canais chegam as comunicações oficiais da escola.
Enviem orientações aos pais pelos canais oficiais da escola
A Mathspace diz que notificou primeiro as escolas para que pudessem coordenar a comunicação com suas comunidades. Passe aos pais os fatos (o que foi e o que não foi incluído) e os passos acima por meio do site da escola ou do aplicativo de comunicação habitual com os pais, e oriente-os a verificar por esses canais, e não por links em e-mails de notificação.
O que aconteceu (segundo o comunicado da Mathspace)
Tudo a seguir é conforme declarado na postagem oficial de blog da Mathspace (5 de setembro de 2026, atualizada em 8 de setembro). As datas são as informadas pela empresa.
6 de agosto de 2026
O desenvolvedor do software de relatórios usado pela Mathspace publica um aviso crítico de segurança e versões corrigidas. A Mathspace diz que seu processo de notificação de vulnerabilidades não identificou nem encaminhou o aviso.10 de agosto
Primeiro acesso não autorizado identificado pela investigação da empresa (horário padrão leste da Austrália).27 de agosto
Informações são baixadas do banco de dados de relatórios australiano (confirmado posteriormente).29 de agosto
A Mathspace atualiza o software após um aviso posterior do desenvolvedor chegar ao seu conhecimento. Diz que não concluiu, naquele momento, as verificações adicionais de comprometimento recomendadas.3 de setembro
A revisão dos registros históricos de acesso confirma acesso não autorizado antes da atualização. O sistema de relatórios é retirado do ar, suas chaves de API são revogadas, as contas de acesso ao banco de dados são desativadas e as senhas do banco são trocadas.4 de setembro
Começam as notificações aos contatos das escolas. Comunicações ao OAIC, ao ACSC da ASD, ao Office of the Privacy Commissioner da Nova Zelândia e ao NCSC; departamentos de educação dos estados e territórios australianos notificados.5 de setembro
Divulgação pública no blog da empresa.6 de setembro
Começam as notificações às pessoas físicas (antes do que havia sido comunicado inicialmente às escolas, a pedido delas).
- Dados obtidos
- ID do usuário, nome de usuário, nome e sobrenome, endereço de e-mail, país, fuso horário, tipo de usuário, status de verificação do e-mail, data da última atividade, data do último login, data de cadastro. Nem todos os campos estavam presentes para todas as pessoas
- Pessoas envolvidas
- Alunos, pais ou responsáveis, professores e funcionários da Mathspace. Ex-usuários ou usuários inativos podem ser afetados se suas informações tiverem sido mantidas no banco de dados de relatórios
- Não incluídos
- Senhas (hashes), tokens de autenticação, credenciais de SSO, credenciais de API, registros acadêmicos, atividades de aprendizado, resultados, registros de avaliação e registros que vinculem contas às escolas
- Causa (segundo a empresa)
- Uma vulnerabilidade no seu software interno de relatórios self-hosted que permitiu acesso de administrador sem um login legítimo
- Uso indevido
- Até agora, nenhuma evidência de publicação, distribuição, venda ou uso indevido. Identidade do invasor desconhecida
- Contenção
- Sistema de relatórios retirado do ar; todas as suas chaves de API revogadas; contas de acesso à plataforma de dados desativadas; senhas do banco de dados trocadas
- Notificações
- OAIC, ACSC da ASD, Office of the Privacy Commissioner da Nova Zelândia e NCSC, departamentos de educação dos estados e territórios australianos
Nota de leitura: não citamos o nome do produto de software
A Mathspace nomeou o software de relatórios que usou. Nós não citamos o desenvolvedor, que não é o foco deste incidente, e nos referimos a ele apenas como "o desenvolvedor do software de relatórios"; a lição defensiva é a mesma para qualquer produto. Não foi publicado nenhum detalhamento do total por país ou tipo de usuário.
Visão deste site: ferramentas internas são as últimas a serem corrigidas
O que chama a atenção aqui é que o vazamento não veio do aplicativo usado pelos clientes, e sim de uma ferramenta interna para analisar números. Ao colocar as datas informadas pela própria empresa em sequência, a invasão e o download ficam ambos entre a publicação da correção e a sua aplicação.
6 ago
Desenvolvedor publica correção; alertas internos não a percebem
10 ago
Primeiro acesso não autorizado
27 ago
Dados baixados
29 ago
Atualizado; sem verificação de comprometimento
Em execução sem correção: 6 ago – 29 ago
Corrigido, mas não verificado: 29 ago – 3 set (identificado pela revisão de registros)
Lições: (1) designar alguém para acompanhar os avisos de ferramentas internas (2) após a correção, verificar comprometimento desde a data do aviso
Ferramentas internas deixadas para depois
- Painéis de relatórios e análises, painéis administrativos, wikis internos
- Configuradas porque alguém achou prática; sem responsável claro
- Ninguém assina os avisos de segurança do desenvolvedor
- Possuem uma conta de banco de dados que pode ler tudo
As mesmas ferramentas, tratadas como produção
- No inventário, com responsável e exposição conhecida (somente interna ou acessível de fora)
- Os avisos do desenvolvedor chegam diretamente ao responsável
- Avisos críticos são corrigidos no mesmo prazo da produção, e depois verificados quanto a comprometimento
- A conta do banco de dados é somente leitura e limitada às colunas necessárias
Ferramentas de relatórios são usadas por equipes que analisam números, então é fácil considerá-las algo diferente da produção. Na prática, elas costumam ter contas de banco de dados e chaves de API que chegam diretamente à plataforma de dados. Neste incidente, para conter o problema, a Mathspace revogou todas as chaves de API da ferramenta de relatórios e desativou suas contas de acesso à plataforma de dados.
Em outras palavras, qualquer ferramenta que possa acessar dados de produção precisa da mesma proteção da produção, por mais interna que sua tela pareça. Quatro coisas que os operadores podem fazer hoje:
Façam o inventário dos softwares que vocês mesmos hospedam
Listem tudo o que vocês hospedam, incluindo relatórios, análises, monitoramento e wikis internos, com um responsável e a indicação de por onde pode ser acessado (somente interno ou também de fora). Veja Inventário de segurança para saber como montar a lista.
Encaminhem os avisos de cada desenvolvedor a um responsável designado
A Mathspace cita, como parte do que deu errado, o fato de seu processo de notificação de vulnerabilidades não ter captado o aviso. Para cada item do inventário, garantam que os avisos de segurança ou notas de lançamento do desenvolvedor cheguem ao responsável. Para decidir o que corrigir primeiro, veja CVSS, EPSS e KEV.
Após a correção, verifiquem comprometimento desde a data do aviso
A Mathspace diz que não concluiu as verificações adicionais de comprometimento recomendadas ao atualizar. Para uma vulnerabilidade crítica, aplicar a correção não é o fim do trabalho.
Executem as verificações que o desenvolvedor recomendar e analisem os registros de acesso desde a data do aviso em busca de contas ou sessões de administrador desconhecidas e exportações em massa (processo completo: Como corrigir CVEs de dependências de verdade).
Reduzam os dados e privilégios que a ferramenta de relatórios acessa
Tornem a conta de banco de dados da ferramenta de relatórios somente leitura e limitada a views que exponham apenas as tabelas e colunas necessárias.
A Mathspace diz que informações de pessoas que não usavam mais o serviço foram mantidas no banco de dados de relatórios, e por isso elas foram afetadas. Uma regra para excluir ou anonimizar dados pessoais que os relatórios já não precisam reduz o que pode vazar.
Visão deste site: se você guarda dados de crianças, decida o que manter perguntando que dano poderia causar em caso de vazamento
Esses campos parecem leves ao lado de notas ou endereços residenciais. Mas o nome de uma criança, o endereço de e-mail, o tipo de usuário "aluno" e a última data em que ela fez login bastam para enviar "seu dever de casa está atrasado" ou "sua conta será suspensa" a crianças que de fato usam o serviço. O reconhecimento da empresa de que uma escola pode ser identificada pelo domínio de e-mail segue a mesma lógica.
Operadores de serviços educacionais devem perguntar se os relatórios realmente precisam de nomes e endereços de e-mail. A maioria dos relatórios funciona apenas com IDs internos.
Também cobrimos um incidente educacional em que dados de matrícula em cursos e mensagens foram obtidos do sistema de gestão de aprendizado Canvas (a violação do Canvas (Instructure)).
No mesmo período, dados de reservas de aeroportos do Reino Unido também foram obtidos (o vazamento de dados do Manchester Airports Group (MAG)).
Fontes (registros públicos)
Os fatos deste artigo vêm das fontes públicas abaixo. Não repetimos especulações da imprensa, detalhamentos não publicados nem informações sobre os invasores.
- Mathspace, "Mathspace data breach: what happened and what affected users should know" (5 de setembro de 2026, atualizada em 8 de setembro) — blog.mathspace.co
- OAIC, "Respond to a data breach notification" — oaic.gov.au
- Office of the Privacy Commissioner da Nova Zelândia, "My information was part of a privacy breach. What can I do?" — privacy.org.nz
- eSafety Commissioner (recurso de segurança online infantil indicado pela Mathspace) — esafety.gov.au
Histórico de atualizações
2026-09-30: Primeira versão, com base na postagem oficial de blog da Mathspace (atualização de 8 de setembro) e em orientações para pessoas físicas do OAIC e do Office of the Privacy Commissioner da Nova Zelândia. A empresa diz que relatará, em seu blog, as mudanças decorrentes da revisão pós-incidente e o status de sua implementação; atualizaremos esta página quando isso ocorrer.
Leia em seguida
- Um incidente em plataforma educacional: A violação do Canvas (Instructure)
- Para operadores: Inventário de segurança / Como decidir o que corrigir primeiro / Como corrigir CVEs de dependências de verdade
- Identificando mensagens falsas: O que é phishing? / Como escolher um gerenciador de senhas
- Uma violação do mesmo período: O vazamento de dados do Manchester Airports Group (MAG)
- Outros incidentes de 2026: Vazamentos de dados e ciberataques de 2026