Por Marco Aurélio – Perito em Segurança Digital | M A Segurança Digital
Publicado em 06/11/2025
A Universidade Cruzeiro do Sul Educacional confirmou que está investigando um possível vazamento de dados que pode ter exposto informações de mais de 3 milhões de registros, incluindo 100 mil credenciais ativas de alunos e funcionários. O caso ganhou repercussão após anúncios em fóruns da dark web oferecerem bancos de dados supostamente vinculados ao grupo educacional.
A investigação
Em comunicado oficial, a instituição informou ter tomado ciência do possível acesso não autorizado e iniciado seus protocolos internos de segurança, conforme determina a Lei Geral de Proteção de Dados (LGPD). A Cruzeiro do Sul destacou possuir um Programa de Privacidade e Proteção de Dados Pessoais robusto e alinhado às exigências legais, embora o incidente tenha levantado dúvidas sobre a eficácia dessas medidas diante de ataques cibernéticos cada vez mais sofisticados.
Os dados supostamente vazados incluem nomes completos, CPFs, datas de nascimento, e-mails, números de celular e carteirinhas estudantis. Em fóruns especializados, criminosos alegam que parte das credenciais ainda está ativa, o que amplia o risco de acessos indevidos e fraudes.
Instituições envolvidas
O suposto vazamento não se limita à Cruzeiro do Sul. O grupo abrange outras 11 instituições de ensino, entre elas:
Universidade Cidade de São Paulo (Unicid), Universidade de Franca (Unifran), Universidade Positivo, Centro Universitário Braz Cubas, UDF, FSG, CEUNSP, UNIPE, FAPI e Módulo. O escopo nacional reforça o impacto potencial do caso, que pode envolver estudantes e colaboradores de várias regiões do país.
Riscos e implicações jurídicas
A exposição de dados pessoais e credenciais ativas representa risco elevado de phishing, fraudes financeiras e clonagem de identidade. Sob a ótica da LGPD, trata-se de um incidente de segurança da informação que exige comunicação imediata à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados, conforme o artigo 48 da lei.
A legislação prevê que o controlador de dados é responsável por adotar medidas técnicas e administrativas capazes de proteger as informações pessoais. Caso seja comprovada falha na segurança, a instituição pode sofrer sanções administrativas, multas e danos reputacionais, além de ações judiciais de indenização por parte dos titulares prejudicados.
Medidas recomendadas
Especialistas em segurança digital recomendam que os alunos e funcionários:
- Troquem suas senhas imediatamente e evitem reutilizar combinações em outros serviços;
- Ativem autenticação de dois fatores (2FA) em e-mails e contas institucionais;
- Monitorem o CPF por meio do Registrato (Banco Central) e serviços de proteção ao crédito;
- Desconfiem de mensagens e ligações suspeitas solicitando dados pessoais ou códigos de verificação;
- Solicitem à instituição informações detalhadas sobre os dados possivelmente comprometidos e as ações adotadas.
Lições para o setor educacional
O incidente reforça a urgência de fortalecer a governança digital em instituições de ensino, que lidam com grandes volumes de informações sensíveis. Investimentos em criptografia, monitoramento contínuo, gestão de credenciais e capacitação de colaboradores são medidas essenciais para reduzir vulnerabilidades.
A segurança de dados deve ser vista não apenas como uma exigência legal, mas como um compromisso ético com a comunidade acadêmica e com a sociedade digital.
Por Marco Aurélio – Perito em Segurança Digital | M A Segurança Digital
Formado em Segurança Pública, Bacharel em Direito e Especialista em Perícia Digital Forense e Direito Digital, Marco Aurélio atua como palestrante em Segurança Digital, com foco na prevenção e análise de incidentes cibernéticos, proteção de dados e compliance digital. Criador da M A Segurança Digital, dedica-se a traduzir a tecnologia em linguagem jurídica e prática para empresas e profissionais do Direito.