Por Canuto  

Un acceso con credenciales comprometidas permitió copiar archivos con información personal y académica de estudiantes actuales y antiguos de California. ETS y las autoridades estatales investigan el alcance de la brecha y ofrecen medidas de protección.
***

  • El incidente comprometió datos de millones de estudiantes; reportes de prensa estimaron que la brecha afecta a cerca de 7 millones de alumnos.
  • ETS detectó el hackeo el 25 de septiembre; el acceso no autorizado habría ocurrido entre el 22 de mayo y el 18 de septiembre de 2026.
  • Los afectados pueden acceder a 24 meses de servicios de protección de identidad, mientras las autoridades recomiendan cautela ante posibles intentos de fraude.

Hackeo a ETS expone información de millones de estudiantes en California

Una brecha de seguridad en Educational Testing Service (ETS), proveedor de servicios para las evaluaciones estandarizadas de California, expuso información personal de millones de estudiantes actuales y antiguos. Entre los datos sustraídos figuran nombres, direcciones, fechas de nacimiento, antecedentes demográficos e información relacionada con discapacidades, según informaron funcionarios educativos estatales. Reportes de prensa estimaron que el incidente afecta a cerca de 7 millones de alumnos.

El incidente alcanza a una población más amplia que los 5,7 millones de alumnos matriculados actualmente en las escuelas públicas del estado. Los registros comprometidos se remontan hasta 2006 e incluyen expedientes de estudiantes que dejaron California sin confirmar su traslado a otra escuela, según reportes sobre la brecha.

Qué información quedó expuesta y a quiénes alcanza

Los archivos comprometidos incluyen el grado escolar, la fecha de nacimiento y la escuela y el distrito a los que asistía cada estudiante. También contienen identificadores únicos, además de datos sobre género, raza o etnia, idioma principal, país de origen y condición de estudiante que aprende inglés. En conjunto, la combinación de estos elementos puede hacer que la información resulte especialmente sensible para las personas afectadas.

La brecha también alcanzó datos sobre discapacidades y sobre la elegibilidad de estudiantes para programas federales, incluidos los destinados a apoyar a alumnos de familias de bajos ingresos. Esa información forma parte del tipo de datos demográficos y de participación en evaluaciones que ETS administra para sus servicios educativos en California. Las autoridades no han divulgado un desglose que precise cuántos expedientes corresponden a cada categoría.

Los funcionarios indicaron que el robo no incluyó números de Seguro Social, licencias de conducir, pasaportes, datos de cuentas financieras, información de tarjetas de crédito o débito ni contraseñas de cuentas. Tampoco se expuso información personal de padres o tutores, de acuerdo con el aviso oficial. Estas exclusiones delimitan el tipo de datos identificado hasta ahora, pero no eliminan los riesgos asociados con la divulgación de domicilios y perfiles escolares.

El alcance temporal puede incluir tanto a menores como a personas que ya dejaron la escuela y hoy son adultas. Según el Departamento de Educación de California, ETS conserva información vinculada con las pruebas y los estudiantes a quienes presta servicios, por lo que la exposición no se limita a quienes cursan actualmente en el sistema público. La amplitud de los años incluidos será parte de la investigación estatal en curso.

Una credencial comprometida permitió copiar archivos

ETS descubrió el hackeo el 25 de septiembre. Una investigación posterior concluyó que una persona no autorizada utilizó credenciales de inicio de sesión comprometidas para entrar al sitio y copiar archivos con información de estudiantes de California en distintos momentos entre el 22 de mayo y el 18 de septiembre de 2026, según el Departamento de Educación estatal.

La primera notificación pública llegó el viernes 16 de octubre, mientras que los líderes de los distritos escolares habían recibido información del incidente el 2 de octubre. La subdirectora estatal Mary Nicely señaló en una carta que las autoridades trabajan con un equipo de agencias estatales para investigar el alcance y el impacto, incluida la información que pudo haber quedado comprometida. Hasta ahora, la comunicación oficial no cuantifica con mayor precisión el número de registros sustraídos.

ETS participa en la gestión y prestación de servicios relacionados con evaluaciones escolares, incluidas las pruebas Smarter Balanced obligatorias que se administran en primavera. En ese trabajo, la organización mantiene datos de identificación, participación y resultados de evaluación de estudiantes. La concentración de información de muchos distritos en un proveedor explica por qué una intrusión en un sistema externo puede convertirse en un asunto de alcance estatal.

El hecho de que el acceso se atribuya a una credencial comprometida generó preocupación entre especialistas en ciberseguridad. Anton Dahbura, director ejecutivo del Instituto de Seguridad de la Información de la Universidad Johns Hopkins, cuestionó que un único nombre de usuario y contraseña pudiera dar acceso durante meses a registros personales de millones de estudiantes. Planteó que una investigación debería examinar si las medidas de autenticación, las restricciones de acceso y los sistemas de monitoreo detectaron la actividad no autorizada.

Dahbura también advirtió sobre las consecuencias de centralizar información sensible en un proveedor, aunque las escuelas subcontraten su almacenamiento y procesamiento. A su juicio, la responsabilidad por el impacto de una brecha no desaparece con la externalización del servicio. Su comentario es una evaluación experta sobre el riesgo sistémico de este tipo de incidentes, no una conclusión oficial sobre las causas técnicas específicas del ataque a ETS.

Investigación, respuesta de ETS y medidas para los afectados

Las autoridades dijeron que, por el momento, no han encontrado pruebas de que los datos se hayan publicado. Esa ausencia de evidencia no confirma que los archivos no hayan sido divulgados de forma privada: los funcionarios también señalaron que algunos atacantes retienen información confidencial mientras esperan el resultado de una posible extorsión. El anuncio público no precisó si los responsables exigieron un rescate ni si ETS recibió una demanda.

Christine Betaneli, portavoz de ETS, defendió las prácticas de seguridad de la organización y afirmó que mantiene un programa integral de seguridad de la información sometido a evaluaciones periódicas de terceros. También dijo que la empresa invierte de forma continua en proteger los sistemas y los datos bajo su custodia. Según Betaneli, ningún otro cliente de ETS resultó afectado por este incidente.

La portavoz agregó que ETS implementó medidas adicionales después de detectar la intrusión, entre ellas un monitoreo reforzado, controles de acceso más estrictos y una revisión adicional de sus prácticas de seguridad por parte de terceros. Esas acciones describen la respuesta comunicada por la empresa, pero la investigación estatal todavía debe determinar cómo se produjo el acceso y qué archivos fueron copiados. La información pública disponible no presenta aún un informe técnico completo.

Los estudiantes y exalumnos afectados pueden acceder a 24 meses de servicios gratuitos de protección de identidad y asistencia para restaurarla si sufren un robo de identidad. Para menores de 16 años, las autoridades sugirieron que padres y tutores consideren solicitar una congelación de crédito gratuita, una herramienta que puede ayudar a impedir que se abran cuentas no autorizadas a nombre del menor. La medida requiere que las familias estén atentas a las instrucciones y actualizaciones oficiales.

El aviso también recomienda desconfiar de correos electrónicos, llamadas o mensajes de texto inesperados que se presenten como comunicaciones de ETS, del estado o de una empresa de monitoreo crediticio. Los funcionarios pidieron no entregar números de Seguro Social, contraseñas, datos financieros ni otra información confidencial en respuesta a solicitudes no solicitadas. ETS y el Departamento de Educación de California indicaron que publicarán información adicional en la página web dedicada al incidente.

La brecha pone el foco en el equilibrio entre la administración centralizada de evaluaciones y la protección de expedientes que abarcan datos personales, educativos y de discapacidad. Por ahora, las autoridades no han confirmado que la información se haya hecho pública ni han determinado el impacto final del incidente. La investigación deberá aclarar qué registros fueron copiados y si las medidas adicionales de ETS bastan para contener nuevos accesos no autorizados.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados