Vazamento de dados do UK Department for Education em 2026

Segundo o comunicado do departamento, o incidente afetou informações de contato dos registros de atendimento ao público. O departamento afirmou que estava trabalhando com o National Cyber Security Centre e a National Crime Agency, havia encaminhado o caso ao Information Commissioner's Office e mantinha contato com as partes afetadas.

BBC, Computer Weekly e UKAuthority relataram de forma independente o mesmo incidente, o ataque à central de atendimento e o comunicado do departamento. As fontes confirmam que 607.000 é uma contagem de registros e que dados bancários e outras informações sensíveis não especificadas não foram envolvidos.

As reportagens situam o ataque na última semana de julho de 2026, mas não informam o dia exato em que o acesso não autorizado começou. A data de 1 de julho no catálogo serve, portanto, apenas para representar o mês e não deve ser interpretada como a data exata do ataque, da descoberta ou da divulgação.

O ataque afetou uma central de atendimento ao público externo usada pelo departamento para se comunicar com dirigentes escolares, autoridades locais e profissionais do ensino superior. O portal Turing Scheme também foi citado entre os serviços temporariamente afetados; o departamento afirmou que retirou os sistemas do ar e conteve o incidente rapidamente.

As categorias de dados confirmadas são nomes, endereços de e-mail, números de telefone e cargos. Essas informações constavam em registros de atendimento relacionados a funcionários do governo, dirigentes escolares de alto escalão, profissionais de universidades e organizações que haviam contatado a central de atendimento do departamento.

O departamento afirmou que dados bancários e outras informações sensíveis não foram obtidos. As fontes não confirmam a exposição de senhas, cartões de pagamento, contas bancárias, documentos de identidade, arquivos de estudantes, registros de saúde ou correspondência privada; por isso, nenhum desses campos está incluído nesta entrada.

O número de 607.000 não é uma contagem de pessoas distintas. Uma pessoa ou organização pode ter mais de um registro na central de atendimento, portanto o total de registros não pode ser usado para calcular o número de indivíduos afetados. Por esse motivo, o total de pessoas é apresentado como não divulgado.

O total de registros também não comprova que os quatro campos de dados estavam presentes juntos em todos os registros. As fontes públicas não fornecem totais de subgrupos por campo nem uma contagem de endereços de e-mail distintos; portanto, esses números não são inferidos, e alegações não verificadas de agentes mal-intencionados não são tratadas como parte do alcance oficial do incidente.

O departamento afirmou que retirou rapidamente os sistemas afetados do ar, conteve o incidente e trabalhou com os órgãos nacionais competentes de segurança cibernética e aplicação da lei. O encaminhamento ao Information Commissioner's Office também submete os aspectos de proteção de dados do caso ao processo regulatório oficial.

O departamento avaliou que o risco à proteção de dados dos indivíduos não era alto. Ainda assim, a combinação de nomes, cargos e informações de contato poderia ser usada para criar mensagens convincentes de phishing que se apresentassem como comunicações do departamento, de uma escola, de uma universidade ou do Turing Scheme.

Verifique cuidadosamente quem envia a mensagem ou faz a ligação quando um contato inesperado afirma ser do departamento ou de uma organização educacional. Não use links que solicitem senha, código de verificação ou informações de pagamento; confirme a solicitação por um canal de contato oficial atual que você tenha encontrado de forma independente.

Tenha cuidado redobrado quando uma mensagem mencionar seu cargo, sua escola ou uma interação anterior com a central de atendimento. Se você receber uma notificação individual do departamento, use-a como fonte principal para saber quais dos seus dados foram afetados e comunique contatos suspeitos à equipe de segurança da sua organização e ao canal oficial de denúncia adequado.