Um login de suporte, sem segundo fator, abriu o portal de dados de alunos da PowerSchool.
A empresa disse que a conta era de uma contratada de suporte e que aquele acesso não exigia MFA. Não publicou quantos estudantes foram atingidos.
Credencial sem MFAA PowerSchool informou clientes que invasores entraram num portal de suporte ao cliente com uma única conta de manutenção comprometida, ligada a uma contratada técnica. A porta-voz Beth Keebler confirmou à TechCrunch que essa conta não estava protegida por autenticação de múltiplos fatores. A empresa disse que o MFA foi implantado depois, e que houve reset geral de senha das contas do portal PowerSource.
O material levado, segundo o FAQ enviado às escolas, inclui dados sensíveis de alunos e professores: em parte dos distritos, Social Security, notas e informações médicas, além de contatos de pais. A PowerSchool não publicou o total de pessoas. O software atende mais de 18 mil clientes e mais de 60 milhões de estudantes, esse é o alcance do produto, não a contagem do vazamento. Distritos disseram à TechCrunch que os logs mostravam a extração do histórico que eles próprios tinham carregado.
A TechCrunch também descreveu um computador de um engenheiro da PowerSchool infectado pelo infostealer LummaC2, com senhas internas roubadas em 2024 ou antes. A empresa disse que a pessoa da conta usada no portal não tinha acesso à AWS e que não podia confirmar aquele relato sem ver as credenciais. São dois fios. O que a PowerSchool confirmou é o primeiro: uma credencial de suporte, sem segundo fator.
Uma conta de manutenção de contratada é o tipo de acesso que ninguém demonstra no slide de arquitetura. Sem segundo fator, ela vale tanto quanto a rede. O teste é se essa conta ainda existe, se ainda entra, e se alguém nota.
