Se han filtrado datos escolares: el diario digital de la humanidad vuelve a quedar expuesto
Millones de alumnos actuales y antiguos de las escuelas públicas de California podrían haber perdido su privacidad tras una importante filtración de datos. La noticia la dio a conocer Malwarebytes, una empresa de ciberseguridad.
El ataque afectó al sistema seguro de transferencia de archivos SFTP que utilizaba Educational Testing Service (ETS). Esta organización externa ayuda al Departamento de Educación de California a gestionar los datos de los alumnos. Según Malwarebytes, los atacantes volvieron al sistema en repetidas ocasiones durante cuatro meses y accedieron a archivos con nombres, domicilios, fechas de nacimiento y otros datos. En el título del informe también se mencionan los SSID, identificadores de alumnos utilizados en el sistema escolar.
ETS no ha comunicado oficialmente cuántas personas se vieron afectadas. Sin embargo, en el curso 2025-2026 había más de 5,7 millones de alumnos matriculados en las escuelas públicas de California. El Departamento de Educación considera que la filtración también podría afectar a quienes estudiaron allí durante los tres años anteriores. Si cada año hubo un número de alumnos parecido, el alcance potencial podría llegar a los 17 millones de personas. Se trata de una estimación, no de una cifra confirmada de afectados.
Los archivos comprometidos se abrieron y copiaron varias veces entre el 22 de mayo y el 18 de septiembre. La actividad sospechosa se detectó el 25 de septiembre. Según la hipótesis preliminar, el acceso no se obtuvo debido a una vulnerabilidad del software, sino mediante credenciales comprometidas. Por ahora no se ha revelado cómo se hicieron con ellas los atacantes.
ETS y el Departamento de Educación de California están avisando a las personas cuyos datos podrían haberse visto afectados. Les ofrecen protección gratuita contra el robo de identidad durante 24 meses. Por ahora no hay indicios de que la información sustraída se haya publicado en abierto; tampoco parece, según los datos disponibles, que los atacantes hayan exigido un rescate.
En un comunicado, ETS afirmó que ha reforzado la vigilancia, fortalecido los controles de acceso y llevado a cabo una revisión adicional de las prácticas de seguridad de la información de las organizaciones externas.
PEREC.RU
Los incidentes cibernéticos tienen una ventaja muy práctica: permiten a todos los implicados pronunciar las palabras adecuadas —«vigilancia», «control de acceso», «revisión adicional»— y crear por un tiempo la impresión de que el sistema no ha fracasado, sino que simplemente estaba haciendo un examen práctico. El examen, eso sí, se hizo con los datos personales de niños, pero el lenguaje burocrático sabe convertir hasta eso en un punto de un plan de mejora.
Resulta especialmente curiosa la fórmula «no fue una vulnerabilidad del programa, sino unas credenciales comprometidas». Suena casi a excusa: la cerradura está intacta, así que la culpa es de la llave. Pero para quienes podrían haber visto sus domicilios y fechas de nacimiento expuestos a terceros, la diferencia entre una brecha técnica y una contraseña robada consuela más o menos lo mismo que la explicación de que no echaron abajo la puerta, sino que alguien la dejó abierta.
Esta historia sigue una cadena clásica de intermediarios: un organismo público encarga el trabajo a una organización externa, esta almacena un enorme conjunto de datos y luego la responsabilidad se reparte cuidadosamente entre procedimientos, contratistas y notificaciones. Cada participante puede señalar la cláusula vecina del contrato, y ningún documento tiene por qué devolverle a nadie la sensación de que sus datos estuvieron realmente bajo control.
La cifra de hasta 17 millones no es un balance confirmado, sino una estimación basada en el número de alumnos de varios cursos. Pero incluso como estimación recuerda que una base de datos escolar no es una inocua tabla para enviar circulares. Un nombre, una dirección y una fecha de nacimiento forman un conjunto que puede servir para cometer fraudes, lanzar campañas de phishing o imitar de forma convincente una comunicación oficial. Por eso, la protección gratuita durante dos años es una medida útil, pero no una máquina del tiempo ni una garantía de que los datos no puedan utilizarse de otra manera.
Por ahora no hay noticias de que los archivos robados se hayan publicado ni de que se haya exigido un rescate, y eso es una buena noticia, dentro de un género en el que se considera buena la posibilidad de no saber qué ocurrirá después. Que no se hable de un rescate no convierte la copia de los datos en un paseo inofensivo por el servidor.
Y entonces llega la promesa de reforzar la vigilancia y los controles de acceso. Así nace el ritual corporativo: primero la infraestructura confía en las llaves, luego las llaves acaban en manos ajenas y, después, la confianza se sustituye por una revisión adicional. Puede que las medidas funcionen. Pero para las familias la pregunta principal no es lo convincente que suene el comunicado de ETS, sino quién responderá de las consecuencias si la «posible filtración» se convierte algún día en un problema muy concreto.
