O ataque cibernético segue o calendário escolar.
O alerta conjunto de CISA, FBI e MS-ISAC que virou referência sobre o tema registrou o padrão: em agosto e setembro, 57% dos incidentes de ransomware reportados ao MS-ISAC envolviam escolas K-12, contra 28% de janeiro a julho. Volta às aulas abre portas: redes recém-configuradas, dispositivos novos distribuídos às pressas e equipes de TI enxutas sobrecarregadas.
O mapa de 2026: o alvo se move, e o Brasil contra a maré
O mapa atual mostra o alvo em movimento. No primeiro semestre, ataques a escolas K-12 caíram 26% no mundo, segundo o levantamento da Comparitech, e subiram mais de 8% no ensino superior.
No Brasil, o setor educacional registrou 8 ataques divulgados no semestre, alta de 33%, num período em que o número global caía. O país ficou fora da lista de campanhas de espionagem na América Latina, mas no mapa do ransomware educacional a maré local sobe enquanto a global recua: o atacante vai onde a defesa é mais fraca, e a fraqueza aqui tem endereço.
O perfil do alvo: o pior dos mundos reunido
Redes de ensino concentram a combinação que o ransomware procura:
- O dado mais vitalício: dados de menores, protegidos pelo melhor interesse e que, vazados, não voltam nunca. Nome, documento, endereço e notas seguem circulando com a escola pague ou não.
- O orçamento mais apertado: segurança compete com merenda, material e salário.
- A TI mais frágil: terceirizada, compartilhada ou inexistente.
- O backup mais vulnerável: dentro do alcance do invasor, montado na rede administrativa.
Cada item, isolado, é administrável. Juntos, são a definição de alvo preferencial.
O padrão de auditoria que se repete
Nas auditorias que faço, o padrão nas redes de ensino repete o que vejo no mercado: hipervisor sem MFA, backup acessível pela rede administrativa e plano de resposta que nunca foi testado.
É o mesmo tripé que o ransomware de hipervisor explora no setor privado, com uma diferença de escala: derrubar o hipervisor de uma escola derruba matrícula, nota e merenda no mesmo dia. A operação da instituição inteira depende da camada que quase ninguém vigia, e a temporada de volta às aulas é quando ela fica mais exposta.
O Brasil regulando enquanto a temporada vem
A resposta regulatória brasileira já existe: a LGPD trata dados de criança e adolescente sob o melhor interesse, e a ANPD colocou proteção de crianças e adolescentes, com o ECA Digital, como eixo prioritário de fiscalização 2026-2027. O precedente de sanção é público e tem número: 153,7 milhões de reais por dado de adolescente.
E o calendário corta a favor da preparação: a temporada de volta às aulas já passou do outro lado do mundo; a nossa começa em fevereiro. São meses de janela para aplicar MFA, separar o backup, minimizar o dado de menor e escrever o plano. Em fevereiro, o atacante também volta às aulas.
Conclusão
Quem cuida de rede de ensino deveria tratar segurança como parte da grade: não é um extra sobre a missão da escola, é a condição para a missão continuar funcionando na segunda-feira seguinte ao ataque.
As medidas que fecham o tripé (MFA, backup fora de alcance, plano testado) não exigem orçamento novo, exigem decisão. E o calendário educacional é público do nosso lado e do lado do atacante: a pergunta de outubro é se fevereiro encontra a rede pronta ou recém-configurada às pressas de novo.