FTC ordena 10 anos de auditorias de segurança após violação de dados de 10,1 milhões de alunos pela Illuminate Education

A Illuminate Education, Inc., empresa registada na Califórnia cujo software escolar baseado na nuvem é utilizado para gerir informação de mais de 17 milhões de alunos em mais de 5.200 distritos escolares dos EUA, sofreu uma violação de dados entre o final de dezembro de 2021 e janeiro de 2022.
Segundo a queixa da Federal Trade Commission (FTC) dos EUA, um agente malicioso utilizou credenciais de um antigo funcionário para aceder ao ambiente de alojamento na nuvem da Illuminate e exfiltrou dados — incluindo endereços de e-mail e postais, datas de nascimento, registos académicos e informação relacionada com a saúde — sem ser detetado durante cerca de 13 dias. A violação afetou mais de 10,1 milhões de alunos atuais e antigos.
A FTC alegou que a Illuminate ignorou avisos anteriores sobre vulnerabilidades de segurança, não implementou salvaguardas razoáveis como encriptação, controlos de acesso e monitorização, deturpou as suas práticas de proteção de dados em declarações públicas e em contratos com distritos escolares, e não forneceu notificações de violação em tempo útil.
A decisão final da Comissão, emitida em 5 de junho de 2026 após um período de consulta pública, exige que a Illuminate publique um calendário de retenção de dados no prazo de 90 dias, adote práticas de minimização de dados e se submeta a avaliações de segurança independentes por terceiros, inicialmente e depois a cada dois anos, durante dez anos — uma das decisões de segurança de dados mais longas já emitidas pela FTC no setor da educação.
Este caso é incluído como exemplo de alerta sobre falhas de governação: mostra as consequências de uma proteção de dados inadequada em software educativo amplamente utilizado e o tipo de solução regulatória de longo prazo agora aplicada ao setor.