Vazamento na Universidade Columbia expõe 1,8 milhão de SSNs, incluindo dados de quem nunca teve vínculo com a instituição

A Columbia não foi hackeada por um zero-day ou ransomware sofisticado. O vazamento veio de uma base legada de recrutamento, mantida ativa sem supervisão, com dados de candidatos de antes de 2012, incluindo SSNs coletados de fontes terceiras como bancos de bolsas e provedores de testes padronizados. Essa base nunca entrou no ciclo de revisão de retenção de dados da universidade, nem foi migrada para ambientes com autenticação multifator ou criptografia em repouso. O acesso não autorizado ocorreu em 16 de maio de 2025, mas a detecção só aconteceu em 24 de junho, 39 dias depois. A notificação aos afetados começou só em 7 de agosto, violando prazos exigidos pela lei de Nova York (24 horas para notificar o procurador-geral) e pela FTC.

O caso expõe um risco sistêmico: instituições de ensino acumulam dados sensíveis de pessoas que nunca se matricularam, muitas vezes por acordos de compartilhamento com empresas de avaliação educacional. Um único servidor esquecido, sem patch, sem monitoramento, sem política de descarte, virou vetor para 1,8 milhão de SSNs expostos, mais do que os 600 mil do WFP em Gaza ou os 5,99 milhões da Carnival. E isso aconteceu enquanto o setor educacional já registrava 251 ataques de ransomware em 2025, com custo médio por violação nos EUA em US$ 10,22 milhões.

Na cobertura anterior do CEVIU sobre vazamentos em serviços públicos e corporativos (Reino Unido, Lituânia, Carnival, Pay Tel), o foco foi em falhas operacionais explícitas: servidores Azure expostos, repositórios na nuvem sem senha, engenharia social bem-sucedida. O caso da Columbia é diferente: não houve invasão externa direta via credenciais ou phishing. A brecha foi estrutural, a ausência de governança de dados legados. É a primeira vez que a cobertura CEVIU documenta um vazamento causado exclusivamente pela retenção indevida de informações de pessoas sem vínculo institucional, em escala superior a 1 milhão de SSNs.

SSNs não são como senhas: não podem ser trocados, revogados ou resetados. Uma vez expostos, abrem porta para roubo de identidade, fraudes em crédito e imposto de renda por décadas. A Columbia guardou esses dados além do necessário, e sem justificativa legal clara, em um ambiente sem controles mínimos. Isso transforma o incidente em precedente regulatório: multas federais e estaduais já somam US$ 3,4 bilhões em 2025, e ações coletivas contra universidades por má gestão de dados estão em alta. Empresas brasileiras que lidam com dados de terceiros (como plataformas educacionais, gestores de processos seletivos ou integradores de sistemas acadêmicos) devem rever políticas de retenção e mapear bases legadas, mesmo as 'inativas'.