Os hackers divulgaram vários dados do LAUSD. O que fazer

Ao liberar dados roubados do Distrito Escolar Unificado de Los Angeles na dark web, os hackers pioraram uma situação ruim para alguns pais, alunos, funcionários e contratados do LAUSD.

No entanto, existem ações que você pode tomar para se proteger contra roubo de identidade e outros tipos de exploração. E faz sentido fazê-los, embora o Los Angeles Unified Supt. Alberto Carvalho disse segunda-feira que uma quantidade mínima de informação pessoal sensível foi divulgada.

“Embora haja muitas informações, muito poucas delas são absolutamente críticas ou confidenciais”, disse ele.

A investigação está em andamento e cerca de um terço do material divulgado ainda não foi examinado pelo LAUSD. Isso deixa as pessoas que interagiram com o distrito adivinhando se foram vítimas e, se foram, que tipos de dados foram divulgados. Carvalho também disse que o distrito ainda não sabe, e pode nunca, saber como os hackers — um grupo que se autodenomina Vice Society e tem crédito reivindicado — invadiu e desativou partes da rede LAUSD.

De acordo com o distrito, o ataque causou o maior dano à Divisão de Serviços de Instalações do distrito, que supervisiona a manutenção e construção. O outro sistema principal afetado é o que contém dados sobre alunos e suas turmas, especialmente um sistema que arquivava dados de 2013 a 2016, disse Carvalho. Ao desligar o resto da rede logo após a detecção da invasão, disse ele, o distrito conseguiu limitar o alcance dos hackers.

O superintendente disse que os hackers extraíram 500 gigabytes de dados do distrito, ou o suficiente para encher mais de 100 DVDs padrão. Essa é uma pequena fração dos 16 milhões de gigabytes de dados que os funcionários do distrito dizem que seus sistemas armazenam.

O TechCrunch informou na segunda-feira que os dados “parecem conter informações de identificação pessoal, incluindo detalhes do passaporte, números do Seguro Social e formulários fiscais”, bem como “documentos contratuais e legais, relatórios financeiros contendo detalhes da conta bancária, informações de saúde, incluindo teste COVID-19 dados, relatórios de condenações anteriores e avaliações psicológicas dos alunos”.

Carvalho recuou durante uma entrevista coletiva à tarde, dizendo que o distrito não viu evidências de avaliações psicológicas ou registros de saúde nos dados divulgados.

Se você é estudante, pai, funcionário ou contratado da LAUSD, aqui estão as etapas que você deve seguir agora para estimar seu risco e se proteger.

Descubra quais dados pessoais você divulgou ao LAUSD

De acordo com a lei estadual, os distritos escolares foram impedidos de coletar os números do Seguro Social dos alunos desde 2017, exceto quando exigido por lei (por exemplo, quando um aluno é um funcionário remunerado). Então, para muitas crianças, isso deve ser uma coisa a menos para se preocupar.

Os registros arquivados tinham números de CPF de alguns alunos, disse Carvalho, junto com nomes e endereços. Mas Carvalho disse que não há evidências neste momento de que números de Previdência Social ou informações confidenciais de saúde tenham sido divulgados. Em vez disso, ele disse, são principalmente nomes de alunos, dados de frequência, algumas informações acadêmicas e alguns endereços que podem estar vinculados aos alunos que moram lá.

Tampouco houve evidência de que informações confidenciais de funcionários atuais, incluindo números de Previdência Social e informações sobre folha de pagamento, tenham sido divulgadas, disse Carvalho. Em vez disso, disse ele, um número limitado de trabalhadores empregados por empreiteiros de manutenção ou construção teve informações pessoais divulgadas. Isso incluiu alguns formulários fiscais W-9, documentos que normalmente são arquivados por empreiteiros e contêm um número de CPF ou de identificação de contribuinte.

Os ladrões de identidade estão interessados ​​em mais do que o seu número de Seguro Social, no entanto. Quanto mais dados pessoais eles puderem coletar, mais capacidade eles terão de se passar por você ao lidar com seu banco, seus provedores de serviços e seus contatos. Os dados também podem ajudá-los a fazer ataques de phishing mais eficazes contra outras redes, ajudando-os a representar conexões confiáveis ​​com mais credibilidade, disse Brett Callow, analista de ameaças da empresa de segurança Emsisoft.

Tome medidas proativas para se proteger contra roubo de identidade

Novamente, não está claro neste momento quem, exatamente, foi afetado. Mas não faria mal ficar menos vulnerável agora.

Verifique se suas credenciais de e-mail foram roubadas em uma violação de dados visitando HaveIBeenPwned.com. Nesse caso, altere sua senha imediatamente.

Verifique sua pontuação de crédito regularmente, o que é uma boa maneira de detectar fraudes depois que elas acontecem. Por exemplo, alguém que abre uma conta de cartão de crédito em seu nome geralmente diminui sua pontuação de crédito. O Consumer Financial Protection Bureau descreve várias maneiras de verificar sua pontuação, gratuitamente ou mediante taxa.

Para ainda mais proteção, congele seus arquivos de crédito, o que impedirá que alguém abra uma nova conta. É gratuito colocar um congelamento e levantá-lo para suas próprias necessidades. Mas você precisa entrar em contato com cada uma das três principais empresas de relatórios de crédito individualmente, o que pode ser feito online. O jornalista de segurança cibernética Brian Krebs também sugere o congelamento dos arquivos de crédito mantidos por um punhado de agências especializadas menores, como ChexSystems e FactorTrust.

Ou inscreva-se em um serviço de monitoramento de crédito e identidade, que normalmente cobra uma taxa mensal. Esses pontos de venda fornecem ferramentas para protegê-lo contra phishing e outras formas de hackers, combinados com serviços de varredura que procuram seu número de CPF ou endereço de e-mail em locais on-line onde não pertence.

Carvalho disse que o distrito fornecerá um serviço de monitoramento de crédito gratuito para qualquer pessoa cujas informações pessoais sejam divulgadas pelos hackers.

Ligue para a linha direta configurada pela LAUSD

O número da linha direta — (855) 926-1129 — é atendido apenas das 6h às 15h30 nos dias úteis, e apenas uma quantidade limitada de informações é fornecida. Por exemplo, os operadores ainda não podem responder a perguntas sobre quem foi afetado e quais dados foram comprometidos, dizendo que esses assuntos ainda estão sendo investigados. “Ainda estamos trabalhando diligentemente com as autoridades para descobrir quais informações foram coletadas e a quem pertencem”, disse um operador ao The Times.

O que a linha direta pode fazer neste momento é recomendar uma série de medidas que as pessoas podem tomar para se proteger de ladrões de identidade online. Isso inclui não clicar em nenhum e-mail ou texto de remetentes desconhecidos e criar uma senha exclusiva para cada conta que você possui online. Para ajudar a lembrar de todas essas senhas, considere um aplicativo gerenciador de senhas, como LastPass ou Dashlane.

De acordo com o operador da linha direta, o distrito disponibilizará mais informações assim que souber quais dados foram roubados e entrará em contato com os indivíduos afetados. Quanto tempo levará para fazê-lo, no entanto, não é conhecido.

Entenda o que você está enfrentando

Muitos pais estão perguntando por que hackers atacariam um distrito escolar. A resposta, dizem os especialistas em segurança, é porque eles são oportunistas, então eles atacam qualquer coisa que pareça vulnerável.

Vyas Sekar, professor de engenharia elétrica e de computação da Carnegie Mellon University, disse que os hackers vasculham a Internet constantemente em busca de vulnerabilidades, além de enviar spam para as caixas de entrada com tentativas de phishing. E Callow disse que também comprará credenciais hackeadas para alvos que acharem atraentes.

O ataque ao LAUSD envolveu duas tentativas de extorsão ao distrito. Os hackers criptografaram alguns dos dados na rede para torná-los inacessíveis e, em seguida, ofereceram uma chave de descriptografia em troca de uma quantia de dinheiro não revelada. E eles também ameaçaram vender os dados que haviam copiado, a menos que o distrito pagasse o resgate.

O distrito não divulgou como o ataque foi realizado. A Agência Federal de Segurança Cibernética e Infraestrutura, que emitiu um alerta sobre a Vice Society logo após a detecção do hack, disse que normalmente obtém acesso às redes de duas maneiras: explorando uma fraqueza em uma parte acessível ao público ou por obter um login e senha válidos por meio de fraude.

“As escolas estão em uma posição muito difícil”, disse Callow. “As pessoas querem que eles gastem dinheiro na educação de crianças e dediquem milhões de dólares a medidas adicionais de segurança de TI e a equipe de TI pode não ser as decisões mais politicamente populares, até que algo assim aconteça.”

Esse é um problema amplamente compartilhado, disse Sekar. “Para a maioria dessas organizações, a segurança é um centro de custo. É um item de linha no orçamento sem um benefício imediato. … Você bate e queima, e só então você sente, ‘Oh, eu deveria ter um corpo de bombeiros.’”

Duas coisas básicas que as escolas podem fazer para se proteger, disse Sekar, é criptografar todos os documentos confidenciais que armazenam e ter um plano de backup para quando forem hackeados. Manter uma cópia de backup dos principais dados e sistemas garantiria pelo menos que um sistema não pudesse ser desligado em um ataque de ransomware, disse ele.

O redator da equipe do Times, Howard Blume, contribuiu para este relatório.