Estudantes britânicos respondem por mais da metade das violações de dados em escolas, aponta órgão regulador

A Information Commissioner’s Office (ICO), autoridade responsável pela proteção de dados no Reino Unido, identificou que estudantes estão por trás de 57% das violações de dados registradas em escolas do país. A conclusão faz parte de uma análise de 215 relatórios de incidentes ocorridos dentro das próprias instituições de ensino, revelando um cenário em que crianças e adolescentes exploram falhas de segurança para obter notoriedade, cumprir desafios ou mesmo buscar ganhos financeiros.

Os ataques analisados ocorreram em diversos níveis de complexidade. Quase um terço das violações teve origem em práticas simples, como a descoberta de senhas fracas, o aproveitamento de credenciais anotadas em locais acessíveis ou a adivinhação de combinações comumente utilizadas por professores e funcionários. Em apenas 5% dos casos foi necessária a aplicação de técnicas mais elaboradas para ultrapassar controles de rede e mecanismos de autenticação, mostrando, segundo o órgão, que a falta de medidas básicas segue como o principal facilitador das invasões.

Um dos episódios citados pela ICO envolveu três alunos do equivalente ao 11.º ano, que obtiveram acesso ao sistema de informações estudantis da escola utilizando ferramentas de quebra de senha. Dois deles admitiram participação em fóruns de hackers, ilustrando como a curiosidade em tecnologia pode, sem orientação adequada, evoluir para comportamentos potencialmente criminosos.

O relatório destaca ainda os motivos mais mencionados pelos jovens para agir contra os próprios colégios: desafios propostos por colegas, busca de reputação entre pares, rivalidades, desejo de vingança ou tentativas de lucro. Para a ICO, esses fatores evidenciam o risco de que atividades vistas inicialmente como “brincadeira” dentro do ambiente escolar sirvam de porta de entrada para delitos cibernéticos mais graves.

Falhas de proteção de dados por parte dos adultos também foram consideradas determinantes. Cerca de 24% das violações ocorreram porque professores permitiram que estudantes utilizassem seus dispositivos. Outros 20% foram atribuídos ao uso de aparelhos pessoais para fins de trabalho por parte de funcionários, prática que, segundo o regulador, dificulta o controle de acesso e a aplicação de políticas de segurança. Além disso, 17% dos incidentes resultaram de configurações inadequadas em plataformas corporativas, como o Microsoft SharePoint, que possibilitaram a visualização indevida de informações sensíveis.

Em comunicado, a principal especialista em cibersegurança da ICO, Heather Toomey, alertou que o comportamento registrado pode ter consequências de longo prazo. A autoridade aponta que uma “brincadeira” dentro dos muros da escola pode evoluir para ataques mais sofisticados, direcionados a organizações ou infraestruturas críticas, caso não haja intervenção educativa e reforço de controles.

Diante do quadro, a ICO classificou os resultados como preocupantes e recomendou que as instituições de ensino reforcem o treinamento em proteção de dados previsto pelo Regulamento Geral de Proteção de Dados (GDPR), revisem políticas de segurança e mantenham procedimentos de resposta a incidentes atualizados. A autoridade também ressaltou a importância de reportar violações em tempo hábil, conforme exigido pela legislação, para mitigar danos a estudantes e funcionários cujos dados pessoais sejam expostos.

Entre as sugestões práticas apresentadas estão a adoção de autenticação multifator em sistemas críticos, a implementação de políticas de senhas robustas, o bloqueio de dispositivos quando não estiverem em uso, além de revisões periódicas nos níveis de permissão concedidos a alunos e colaboradores. O órgão também incentiva programas educativos que mostrem aos jovens as implicações legais do acesso não autorizado a sistemas e estimulem o uso responsável de habilidades digitais.

O estudo mostra que, embora parte das investidas exija conhecimento técnico, a maior parte dos incidentes poderia ter sido evitada com boas práticas básicas. Para a ICO, a combinação entre falhas de gerenciamento de dispositivos, senhas fracas e curiosidade típica da idade cria um ambiente propício a violações que comprometem informações pessoais de estudantes, responsáveis e funcionários.

Com o aumento do uso de plataformas online no ensino e a crescente digitalização de registros escolares, a autoridade reforça que proteger dados não é apenas requisito legal, mas também medida essencial para preservar a confiança no ambiente educacional. A ICO afirma que seguirá acompanhando o tema e que novas diretrizes poderão ser divulgadas caso o cenário de riscos evolua.