O que o PowerSchool não dirá sobre sua violação de dados que afeta milhões de estudantes

Estamos apenas alguns meses em 2025, mas o recente hackear da Gigante da EDTECH PowerSchool está a caminho de ser uma das maiores violações de dados educacionais nos últimos anos.

O PowerSchool, que fornece software K-12 a mais de 18.000 escolas para apoiar cerca de 60 milhões de estudantes na América do Norte, divulgou pela primeira vez a violação de dados no início de janeiro de 2025.

A empresa da Califórnia, que a Bain Capital adquiriu por US $ 5,6 bilhões, disse que um hacker desconhecido usou uma única credencial comprometida para violar seu portal de suporte ao cliente em dezembro de 2024, permitindo acesso adicional ao sistema de informações escolares da empresa, Powerschool SIS, que as escolas usam para gerenciar registros de estudantes, notas, participação e matrículas.

Embora o PowerSchool tenha sido aberto sobre alguns aspectos da violação - por exemplo, o PowerSchool disse ao Strong The One que o portal do PowerSource quebrado fez não Apoie a autenticação de vários fatores no momento do incidente-várias questões importantes permanecem sem resposta meses depois.

O Strong The One enviou a PowerSchool uma lista de perguntas pendentes sobre o incidente, que potencialmente afeta milhões de estudantes.

O porta -voz da PowerSchool, Beth Keebler Página de incidentes da empresa. Em 29 de janeiro, a empresa disse que começou a notificar os indivíduos afetados pela violação e aos reguladores estaduais.

Muitos dos clientes da empresa também têm perguntas excelentes sobre a violação, forçando os afetados a trabalhar juntos para investigar o hack.

No início de março, a PowerSchool publicou sua violação de dados post-mortem, como preparado por crowdstrikedois meses após o que os clientes da PowerSchool foram informados de que seria lançado. Embora muitos dos detalhes do relatório fossem conhecidos, Crowdstrike confirmou que um hacker tinha acesso aos sistemas da PowerSchool já em agosto de 2024.

Aqui estão algumas das perguntas que permanecem sem resposta.

PowerSchool não disse quantos estudantes ou funcionários são afetados

O Strong The One ouviu os clientes da PowerSchool que a escala da violação de dados pode ser "enorme". Mas o PowerSchool se recusou repetidamente a dizer quantas escolas e indivíduos são afetados, apesar de dizer ao Strong The One que "identificou as escolas e distritos cujos dados estavam envolvidos nesse incidente".

Computador de bipingcitando várias fontes, informou em janeiro que o hacker responsável pela violação do PowerSchool acessou os dados pessoais de mais de 62 milhões de estudantes e 9,5 milhões de professores.

Quando perguntado pela Strong The One, o PowerSchool se recusou a confirmar se esse número era preciso.

Os registros da PowerSchool com os procuradores -gerais estaduais e as comunicações de escolas violadas, no entanto, sugerem que milhões de pessoas provavelmente tiveram informações pessoais roubadas na violação de dados.

Em um registro no procurador -geral do Texas, o PowerSchool confirmou que quase 800.000 residentes estaduais tiveram dados roubados. Um registro de janeiro com o procurador -geral do Maine disse que pelo menos 33.000 residentes foram afetados, mas isso foi atualizado Dizer que o número de indivíduos impactados deve "ser determinado".

O Conselho Escolar do Distrito de Toronto, o maior conselho escolar do Canadá que atende a aproximadamente 240.000 alunos a cada ano, disse que o hacker pode ter acessado cerca de 40 anos de dados dos alunos, com os dados de quase 1,5 milhão de estudantes recebidos na violação.

Distrito escolar de Menlo Park City da Califórnia também confirmado O hacker acessou informações sobre todos os alunos e funcionários atuais-que respectivamente numeram cerca de 2.700 estudantes e 400 funcionários-além de estudantes e funcionários que remontam ao início do ano letivo de 2009-10.

PowerSchool não disse que tipos de dados foram roubados

Não apenas não sabemos quantas pessoas foram afetadas, mas também não sabemos quanto ou que tipos de dados foram acessados ​​durante a violação.

Em uma comunicação compartilhada com os clientes em janeiro, vista pela Strong The One, o PowerSchool disse que o hacker roubou "informações pessoais sensíveis" sobre estudantes e professores, incluindo notas, participação e demografia dos alunos. A página de incidentes da empresa também afirma que dados roubados podem ter incluído números de previdência social e dados médicos, mas diz que "devido a diferenças nos requisitos do cliente, as informações exfiltradas para qualquer indivíduo variaram em nossa base de clientes".

O Strong The One ouviu falar de várias escolas afetadas pelo incidente de que "todos" de seus dados históricos de estudantes e professores foram comprometidos.

Uma pessoa que trabalha em um distrito escolar afetado disse ao Strong The One que os dados roubados incluem dados de estudantes altamente sensíveis, como informações sobre os direitos de acesso dos pais a seus filhos, pedidos de restrição e informações sobre quando certos alunos precisam tomar seus medicamentos.

Uma fonte que fala com o Strong The One em fevereiro revelou que o PowerSchool forneceu às escolas afetadas uma ferramenta de "auto -serviço da SIS" que pode consultar e resumir os dados do cliente da PowerSchool para mostrar quais dados são armazenados em seus sistemas. A PowerSchool disse às escolas afetadas, no entanto, que a ferramenta "pode ​​não refletir com precisão dados q