PowerSchool afronta nous intents d’extorsió després del robatori de dades educatives

Què va passar

Al maig de 2025 PowerSchool, proveïdor de programari de gestió educativa, va informar de nous intents d'extorsió contra districtes escolars després d'un robatori de dades ocorregut a finals de 2024. La informació afectada podia incloure dades personals d'estudiants i de personal educatiu.

La companyia havia pagat inicialment per evitar la difusió de les dades robades, però els nous intents d'extorsió van mostrar que aquest pagament no va garantir que la informació desaparegués ni que no es tornés a usar contra les víctimes.

Què significa per a una empresa mitjana

El cas il·lustra un risc específic dels proveïdors de programari que centralitzen dades de molts clients: una sola bretxa pot afectar desenes o centenars d'organitzacions alhora, cadascuna amb la seva pròpia obligació d'informar els afectats.

Per a una empresa que contracta aquest tipus de serveis, la lliçó és que la seguretat del proveïdor forma part del seu propi risc, i que pagar un rescat no és garantia que el problema acabi allà.

Què convé revisar

Mesures que redueixen l'exposició abans que hi hagi una bretxa en un proveïdor:

• Minimització de dades: compartir amb proveïdors només la informació estrictament necessària.
• Xifratge de dades personals sensibles, tant en trànsit com en repòs.
• Clàusules contractuals clares sobre seguretat, notificació d'incidents i responsabilitat del proveïdor.
• Vigilància d'accessos anòmals a les dades que gestiona el proveïdor en nom de l'empresa.

Preguntes freqüents

Quines dades es van veure afectades?

Segons PowerSchool, informació personal d'estudiants i personal educatiu emmagatzemada a la seva plataforma de gestió escolar.

Pagar el rescat va solucionar el problema?

No de manera definitiva. Els nous intents d'extorsió al maig de 2025 mostren que el pagament inicial no va impedir que les dades es tornessin a usar per pressionar les víctimes.

Què pot exigir una empresa a un proveïdor de programari amb dades sensibles?

Minimització de les dades compartides, xifratge adequat i compromisos contractuals clars sobre seguretat i notificació d'incidents.