Violação de dados da DC Public Schools em 2026

Uma carta enviada pela DCPS às famílias descreveu um possível acesso não autorizado às informações no aplicativo web e listou as categorias de dados potencialmente afetadas. A DCPS informou que acionou o D.C. Office of the Chief Technology Officer, removeu os dados dos alunos do aplicativo e notificou as autoridades policiais.

A NBC4 Washington noticiou em detalhes a carta e as declarações de representantes da DCPS. A WUSA9 confirmou de forma independente que as famílias foram notificadas sobre um possível incidente de segurança cibernética, enquanto o FBI informou que estava coordenando ações com parceiros.

Um terceiro não autorizado pode ter acessado informações no aplicativo web usado para inscrições no DCPS Summer Learning. O aplicativo armazenava informações de alunos de programas de contraturno e de verão, principalmente em escolas dos anos iniciais do ensino fundamental.

A DCPS não informou o dia do acesso inicial, por quanto tempo o acesso durou nem o método de invasão. A data de 1 de julho é usada no catálogo apenas como referência para indicar o mês, e não como o dia do ataque ou da descoberta.

Os tipos de dados listados são nomes dos alunos, números de identificação dos alunos, datas de nascimento, escolas e séries escolares, nomes dos pais ou responsáveis, endereços residenciais e números de telefone. As fontes não permitem afirmar que todos os campos estavam presentes para todos os alunos.

Números de seguridade social, informações financeiras, senhas e prontuários médicos não estavam entre as categorias divulgadas para este incidente. Tipos de dados ausentes nas fontes não foram acrescentados com base em suposições de risco.

A DCPS não publicou uma contagem definitiva de alunos ou famílias. Representantes informaram que o incidente envolveu um aplicativo com informações de 55 escolas; esse número se refere às escolas participantes, não às pessoas afetadas.

Como não há uma contagem pública verificada de pessoas afetadas, esse total consta como não divulgado. As referências da imprensa a “milhares de alunos” não constituem uma contagem precisa, sem duplicidades, e não são usadas como total no catálogo.

O nome, a data de nascimento, a escola, a série escolar e o endereço residencial de um aluno podem ser combinados para criar mensagens que pareçam feitas especificamente para a criança ou seu responsável. Fraudes podem usar inscrições escolares, programas de verão, transporte ou emergências como pretexto.

A DCPS informou que não tinha conhecimento de uso indevido à época da divulgação. Essa é uma constatação positiva, mas não garante que as informações não serão usadas posteriormente. Como os dados de identificação de crianças podem continuar válidos por anos, este registro é tratado como sensível.

Verifique por um canal independente a autenticidade de ligações, e-mails e mensagens inesperadas que aleguem ser de uma escola ou da DCPS. Não use links que solicitem números de identificação de alunos, datas de nascimento, endereços ou senhas de contas; use o número de telefone conhecido da escola ou acesse o domínio oficial dcps.dc.gov.

Se aparecer uma conta, solicitação ou notificação de serviço em nome de uma criança que você não reconhece, entre em contato diretamente com a instituição em questão e documente o incidente. Use senhas exclusivas e autenticação multifator nas contas de e-mail da família e ensine as crianças a mostrar a um adulto de confiança pedidos inesperados de informações pessoais.