Bain segue réu no caso PowerSchool, mas decisão é parcial

Correção ao registro: o item entrou como 'organização afetada: Court denies motions to dismiss...', com selo 'claimed' e veredito 'unverified'. O título é de uma notícia sobre litígio, não o nome da vítima. A vítima é a PowerSchool. A data 2026-10-28 é a da republicação no DataBreaches.net, que reproduz um comunicado do Hausfeld; as decisões judiciais são de 17 a 19 de março de

2026. Não existe alegação de ator pendente de verificação. O incidente foi admitido pela empresa, investigado pela CrowdStrike e levou à condenação criminal do autor.

O que cada parte afirma. O ator: em dezembro de 2024 apareceu a alegação de 62 milhões de estudantes (título do BleepingComputer); essa alegação se confirmou na ordem de grandeza. A vítima: confirmou o acesso, o pagamento do resgate e o uso de credenciais de suporte, mas segundo o TechCrunch nunca deu um total de afetados. Os reguladores canadenses: estimam cerca de 5,2 milhões de pessoas afetadas no Canadá, 3,86 milhões em Ontário. O Texas, em ação própria, fala em 62,4 milhões de estudantes e 9,5 milhões de professores, o que é alegação em processo, não achado. O DOJ, segundo o BleepingComputer, cita 62,4 milhões de estudantes e 9,5 milhões de professores em 6.505 distritos. O comunicado do Hausfeld fala em 'mais de 50 milhões'. Essa distância para os 62,4 milhões mais 9,5 milhões não tem explicação nas fontes que li; pode ser descrição conservadora da classe, ou contagem diferente de pessoas e de registros.

O que a decisão judicial de fato diz. O Hausfeld, escritório dos autores, escreve que o tribunal negou os pedidos de arquivamento. O docket do govinfo registra 'granting in part and denying in part' para a PowerSchool e para a Bain, nas duas trilhas (indivíduos e distritos). O Bloomberg Law diz que a Bain 'largamente falhou' em arquivar os pedidos. Uma das opiniões que li, em agregador, aceitou o arquivamento de pedidos como negligência por atraso na notificação e invasão de privacidade, e manteve negligência per se, treinamento e supervisão negligentes, dever fiduciário e enriquecimento sem causa. Não sei de qual trilha é esse texto. Ou seja: o caso avança, mas encolhido.

Por que a Bain importa. Segundo Womble Bond Dickinson e MoloLamken, as alegações são que a Bain condicionou a compra a cortes de custos, que isso incluiu demitir equipe doméstica de cibersegurança e terceirizar funções, e que as projeções já assumiam essa terceirização. O tribunal aceitou que atos pré-aquisição podem sustentar responsabilidade por agency. O Bloomberg Law resume a tese dos autores: ferramentas de gestão de dados exigidas pela terceirização permitiam a fornecedores contornar protocolos de consentimento. Tudo isso está no plano das alegações, aceitas como verdadeiras para fins de arquivamento. Não há prova produzida, e a Bain não foi considerada responsável.

Estanding e reconsideração. Uma ordem posterior, sob outro número de juiz (AJB), negou o pedido de reconsideração da PowerSchool por falta de 'erro claro'. A empresa questionava a análise de legitimidade (Article III) por autor, contestava o fato de 121 autores que ela chama de 'sem dano' (sem exposição alegada de SSN ou dados financeiros) seguirem no caso, e pedia que o tribunal não seguisse a decisão do caso Illuminate. A PowerSchool pediu, se perdesse, certificação de questões ao Nono Circuito (1292(b)) e suspensão da instrução; o trecho que li não mostra o desfecho desse segundo pedido. Segundo o DataBreaches.net, a leitura de quem blogou é que o juiz também manteve a tese de que a PowerSchool seria 'provedora de saúde' sob a CMIA californiana, mesmo após a reforma do caso Illuminate; essa leitura é de blogueiro, com ressalva dele próprio, e não verifiquei o texto da ordem.

A falha técnica, em termos de controle. A CrowdStrike descreve credenciais de suporte comprometidas, acesso ao PowerSource e uso da ferramenta de manutenção para entrar nos bancos do SIS. A mesma credencial já fora usada de 16/08 a 17/09/2024; sem logs mais antigos, não se pode dizer se foi o mesmo ator. Os comissários de Ontário e Alberta apontaram falta de MFA obrigatório, manutenção remota 'always on', retenção curta de logs e detecção tardia, além de contratos sem cláusulas de privacidade e sem monitoramento do fornecedor pelos conselhos escolares. A mensagem regulatória é que a instituição não terceiriza a responsabilidade.

Discrepâncias nas fontes. Krebs (outubro de

2026) diz que Lane foi condenado em novembro de 2025; Reuters/US News (URL de 14/10/2025), CBC e BleepingComputer indicam terça-feira, 14 de outubro de

2025. Fico com outubro. O BleepingComputer fala em acordo de culpa em maio e o CBC/Reuters em junho; o DOJ divulgou o documento do acordo em 20/05. Krebs também reporta, com fontes anônimas, que o FBI suspeita que um negociador de resgate tenha operado um site de extorsão do ShinyHunters; ele não identifica a empresa e ninguém foi acusado. Isso é ruído em relação à PowerSchool: a única ligação é a PowerSchool ter contratado a CyberSteward, segundo o FAQ da empresa, e a ligação do suspeito com ela é uma inferência de terceiros, que não usei.

Limite desta apuração: não consegui abrir as ordens judiciais completas nem o comunicado original da PowerSchool; li as decisões por agregador, docket e imprensa jurídica, e as buscas adicionais foram interrompidas por limite da ferramenta.

Dados de estudantes e professores de milhares de distritos nos EUA e no Canadá foram acessados. O que a PowerSchool relatou como categorias de dados: nomes, endereços, contatos, SSN, dados médicos e notas. A diferença entre as cifras (50 milhões nos materiais dos autores; 62,4 milhões de estudantes e 9,5 milhões de professores nas peças do DOJ e do Texas; 5,2 milhões de pessoas no Canadá) mostra que ninguém tem um total oficial da vítima. Na prática, há distritos extorquidos individualmente depois do pagamento, famílias sem garantia de exclusão dos dados e um litígio multidistrital em que a PowerSchool e a Bain seguem rés, em um processo ainda em fase inicial e sem decisão de mérito.