PowerSchool enfrenta novas tentativas de extorsão após o roubo de dados educativos

O que aconteceu

Em maio de 2025 a PowerSchool, fornecedora de software de gestão educativa, comunicou novas tentativas de extorsão contra distritos escolares após um roubo de dados ocorrido no final de 2024. A informação afetada podia incluir dados pessoais de alunos e de profissionais de educação.

A empresa tinha pago inicialmente para evitar a divulgação dos dados roubados, mas as novas tentativas de extorsão mostraram que esse pagamento não garantiu que a informação fosse eliminada nem que não voltasse a ser usada contra as vítimas.

O que significa para uma média empresa

O caso ilustra um risco específico dos fornecedores de software que centralizam dados de muitos clientes: uma única violação de dados pode afetar dezenas ou centenas de organizações em simultâneo, cada uma com a sua própria obrigação de informar os afetados.

Para uma empresa que contrata este tipo de serviços, a lição é que a segurança do fornecedor faz parte do seu próprio risco, e que pagar um resgate não garante que o problema termine aí.

O que convém rever

Medidas que reduzem a exposição antes de ocorrer uma violação de dados num fornecedor:

• Minimização de dados: partilhar com fornecedores apenas a informação estritamente necessária.
• Cifragem de dados pessoais sensíveis, tanto em trânsito como em repouso.
• Cláusulas contratuais claras sobre segurança, notificação de incidentes e responsabilidade do fornecedor.
• Monitorização de acessos anómalos aos dados que o fornecedor gere em nome da empresa.

Perguntas frequentes

¿Que dados foram afetados?

Segundo a PowerSchool, informação pessoal de alunos e profissionais de educação armazenada na sua plataforma de gestão escolar.

¿O pagamento do resgate resolveu o problema?

Não de forma definitiva. As novas tentativas de extorsão em maio de 2025 mostram que o pagamento inicial não impediu que os dados voltassem a ser usados para pressionar as vítimas.

¿O que pode uma empresa exigir a um fornecedor de software que trata dados sensíveis?

Minimização dos dados partilhados, cifragem adequada e compromissos contratuais claros sobre segurança e notificação de incidentes.