Hackers robaron información personal de casi 7 millones de estudiantes de escuelas públicas de California tras vulnerar a Educational Testing Service (ETS), la organización sin fines de lucro que aplica los exámenes estatales obligatorios, informaron este viernes las autoridades educativas del estado.
Según el aviso oficial de ETS y del Departamento de Educación de California (CDE), un intruso utilizó una sola credencial de acceso comprometida para entrar en varias ocasiones, entre el 22 de mayo y el 18 de septiembre de 2026, a un servidor SFTP con el que ambas instituciones intercambiaban resultados de las evaluaciones estatales, y copió archivos con datos de alumnos.
ETS detectó la actividad no autorizada hasta el 25 de septiembre, desactivó la cuenta, desconectó el sitio y abrió una investigación con expertos externos. Los directivos de los distritos escolares fueron notificados el 2 de octubre, pero el aviso público llegó apenas este 16 de octubre.
Qué datos se llevaron
La información copiada incluye nombre, fecha de nacimiento, domicilio, escuela, distrito y grado, además del identificador estatal del estudiante, género, raza o etnia, idioma principal, país de origen y condición de aprendiz de inglés.
También quedaron expuestos datos especialmente sensibles: condición y tipo de discapacidad, adecuaciones en los exámenes y elegibilidad para programas federales como Title I, McKinney-Vento (alumnos sin hogar) y estudiantes de familias militares, así como resultados de las pruebas.
De acuerdo con las autoridades, no se robaron números de Seguro Social, licencias, pasaportes, datos bancarios ni contraseñas, ni información de padres o tutores. El hackeo abarca a todos los alumnos inscritos en los tres ciclos escolares previos y, según Los Angeles Times, a estudiantes que dejaron el estado sin confirmar su traslado desde 2006.
Sin pruebas de filtración, pero con preguntas
ETS asegura que, hasta ahora, no ha encontrado evidencia de que los datos se hayan publicado. El comunicado oficial no aclara si hubo una exigencia de rescate. El Centro de Integración de Ciberseguridad de California (Cal-CSIC) apoya en el análisis forense, y el CDE revisa si ETS cumplió con sus obligaciones contractuales de seguridad.
Anton Dahbura, director del Instituto de Seguridad de la Información de la Universidad Johns Hopkins, cuestionó a Los Angeles Times cómo una contraseña robada pudo convertirse en un pase de meses a millones de expedientes sin que los sistemas de monitoreo lo detectaran. ETS respondió que mantiene un programa de seguridad auditado por terceros y que ya reforzó controles de acceso y vigilancia.
Los afectados podrán inscribirse sin costo en un servicio de protección de identidad de Experian por 24 meses, con fecha límite el 19 de marzo de 2027. Las autoridades recomiendan a los padres considerar un congelamiento de crédito gratuito para menores de 16 años y desconfiar de correos, llamadas o mensajes que mencionen el incidente.
Deja una respuesta