Hackers copiaron información de alumnos actuales y antiguos durante casi cuatro meses. El robo no incluyó contraseñas ni tarjetas, pero sí datos sensibles suficientes para perseguirlos durante años.
No fueron miles, sino millones de estudiantes de California. Hackers copiaron información almacenada por Educational Testing Service, proveedor de las evaluaciones estatales.
El ataque alcanzó a alumnos actuales y antiguos desde 2023, además de algunos estudiantes cuyos registros escolares permanecían activos desde años mucho más lejanos.
Los archivos incluían nombres, domicilios, fechas de nacimiento, grado escolar, escuela, distrito y números únicos utilizados por California para identificar individualmente a cada estudiante.
También aparecían sexo, raza o etnicidad, idioma principal, país de origen, condición de aprendiz de inglés, discapacidades y participación en programas para familias vulnerables.
La información que una escuela necesita también puede volverse contra el alumno
No fueron robados números de Seguro Social, cuentas bancarias, tarjetas, contraseñas, pasaportes ni licencias de conducir, según las autoridades educativas del estado californiano.
Pero eso no vuelve inofensivo el ataque. Un expediente escolar detallado permite construir perfiles personales capaces de alimentar fraudes, engaños dirigidos o intentos de suplantación.
Un delincuente que conoce nombre, domicilio, cumpleaños, escuela, idioma y situación educativa puede fabricar mensajes mucho más creíbles para engañar a una familia.
Y cuando se trata de menores, la exposición tiene otro problema: muchos podrían pasar años sin revisar historial crediticio porque todavía ni siquiera deberían tenerlo.
Una contraseña abrió la puerta durante meses
ETS detectó actividad sospechosa el 25 de septiembre. La investigación concluyó que alguien utilizó credenciales comprometidas entre el 22 de mayo y septiembre.
Durante ese periodo, el intruso entró repetidamente a un sitio utilizado para intercambiar archivos con California y copió documentos que contenían información estudiantil.
Anton Dahbura, experto de Johns Hopkins, resumió la falla así: “Una credencial robada no debería convertirse en un pasaporte de meses hacia millones de expedientes estudiantiles”.
La pregunta inevitable es cómo un solo acceso pudo permanecer activo durante tanto tiempo sin que sistemas de vigilancia, autenticación o restricciones detuvieran la extracción.
California promete protección después del robo
El Departamento de Educación informó que trabaja con varias agencias estatales para determinar el alcance completo y aseguró que proteger información estudiantil es “nuestra máxima prioridad”.
ETS retiró el sitio comprometido, construyó otro con controles reforzados y asegura haber aumentado vigilancia, restricciones de acceso y revisiones externas de sus sistemas informáticos.
Christine Betaneli, portavoz de ETS, sostuvo que la organización mantiene “un programa integral de seguridad de la información” sometido regularmente a evaluaciones independientes de terceros.
Hasta ahora, las autoridades aseguran que no encontraron evidencia de que los datos hayan sido publicados. Tampoco han informado públicamente sobre una eventual exigencia de rescate.
Dos años de vigilancia para un problema que puede durar mucho más
Los afectados recibirán dos años gratuitos de protección de identidad mediante Experian, además de ayuda para restaurarla si aparece algún caso comprobado de robo.
Las autoridades también recomiendan congelar gratuitamente el crédito de menores de 16 años, evitando que alguien abra cuentas fraudulentas utilizando identidades estudiantiles robadas.
Además pidieron desconfiar de llamadas, correos o mensajes inesperados que utilicen el incidente como pretexto para pedir contraseñas, datos bancarios o información personal adicional.
El problema más grande, sin embargo, no cabe dentro de dos años de vigilancia. Fecha de nacimiento, origen, discapacidad o historial escolar no pueden cambiarse fácilmente.
California digitalizó millones de expedientes para administrar educación y evaluaciones. El ataque recordó que concentrar tanta información también convierte una falla técnica en problema generacional.
Acerca del autor
