Aluno invade a Inna e mira notas de 16 escolas

O que se sabe vem da imprensa islandesa, e os principais declarantes são nomeados. Segundo o mbl.is, um aluno de outra escola entrou em contas de funcionários e de outros alunos na Inna e tentou alterar notas e frequência. A reitora do MR, Sólveig Guðrún Hannesdóttir, relata que um funcionário da escola viu alterações em registros que não fizera. A escola notificou a Persónuvernd, e a Inna também. A Persónuvernd, pela diretora Helga Þórisdóttir, diz ao Vísir que o caso envolve até 16 escolas.

O registro interno trazia 'claimed' e 'unverified', e isso está errado. Não existe alegação de ator a verificar. O incidente é reconhecido por reguladora e por escolas vítimas, então o selo correto é 'confirmed' e a natureza é 'real'. O registro também usava a manchete da Iceland Review como nome da vítima e deixava país e setor em branco. A vítima é o sistema Inna e as escolas que o usam, na Islândia, no setor de educação. Outro ponto: a manchete fala em 'escolas islandesas' sem dizer que são liceus (ensino médio, framhaldsskólar), não escolas de ensino fundamental, que usam outros sistemas como Mentor ou Námfús.

Há divergência de ênfase sobre a gravidade. A cobertura em inglês fala em 'violação de dados de alunos', mas os fatos primários descrevem principalmente tentativa de manipulação de registros. A veracidade da lista de dados potencialmente expostos (avaliações, diagnósticos, saúde) vem de preocupação declarada pela reitora do MR. A própria Iceland Review diz que as autoridades não confirmaram que todas as categorias foram vistas ou copiadas. O Vitinn, agregador crítico de mídia de apuração própria irregular, registra que o reitor do MH disse que a tentativa visava a avaliação de meio de semestre, sem efeito sobre notas finais, e que falhou. Essa informação não foi confirmada por fonte independente nesta pesquisa e pesa menos, mas indica que o dano à integridade pode ser menor que a manchete sugere.

O ponto mais relevante para o leitor técnico é a recorrência. A reitora do MR diz que o MR já fora afetado por outra falha da Inna na primavera, quando um aluno entregou um relatório mostrando como entrar no sistema com facilidade. Ela relata que a empresa disse ter corrigido. Em outubro, nova falha de login. Ela pede auditoria externa e análise de risco do sistema. Isso desloca a pergunta de 'quem foi o aluno' para 'que controle falhou duas vezes' e quem responde por isso.

Sobre responsabilidade, há uma incerteza que não consegui resolver. Em orientação pública de 2023, a Persónuvernd tratava as escolas como controladoras do tratamento no módulo de candidaturas pago, e a Advania Ísland como operadora (processor) de todos os componentes da Inna. O Vitinn, nesta cobertura, afirma que a Inna é operada pela infoMentor. Não confirmei com fonte primária quem opera a Inna hoje, e a possível mudança de operador está em aberto. O Vitinn também afirma que a Inna não respondeu aos pedidos de comentário do Vísir. Não achei comunicado público da Inna, da Advania, da infoMentor nem do ministério.

O que não se sustenta: número de registros acessados, identidade ou idade do aluno, método técnico exato, e se dados de saúde foram de fato lidos. Quem afirmar qualquer um desses pontos com precisão não tem fonte pública que o sustente.

Afetados potenciais: alunos e funcionários de até 16 liceus islandeses que usam a Inna. O sistema guarda notas, frequência, histórico escolar e, segundo as escolas, avaliações e informações sensíveis. Impacto confirmado: contas de funcionários e alunos foram acessadas por um aluno, houve tentativa de alterar notas e frequência, e escolas encontraram entradas suspeitas em seus registros. Impacto não confirmado: leitura ou cópia de dados pessoais, o que seria relevante para dados de menores. As escolas ainda aguardavam da Inna uma análise de quais registros foram de fato alterados.