Un inicio de sesión comprometido dejó al descubierto los datos de millones de estudiantes de California

La in­for­ma­ción per­so­nal de alum­nos ac­tua­les y an­te­rio­res de es­cue­las pú­bli­cas de Ca­li­for­nia fue ex­traí­da de un sis­te­ma de trans­fe­ren­cia de ar­chi­vos per­te­ne­cien­te a Edu­ca­tio­nal Tes­ting Ser­vi­ce (ETS), en­ti­dad sin fines de lucro en­car­ga­da de ges­tio­nar eva­lua­cio­nes para el es­ta­do. De acuer­do con la no­ti­fi­ca­ción del De­par­ta­men­to de Edu­ca­ción de Ca­li­for­nia (CDE), un in­tru­so em­pleó cre­den­cia­les de ac­ce­so vul­ne­ra­das para in­gre­sar de ma­ne­ra ile­gal a la pla­ta­for­ma de pro­to­co­lo de trans­fe­ren­cia se­gu­ra de ar­chi­vos (SFTP) y co­piar ex­pe­dien­tes con datos de los es­tu­dian­tes en dis­tin­tos mo­men­tos.

Los re­gis­tros sus­traí­dos abar­can nom­bres, fe­chas de na­ci­mien­to, do­mi­ci­lios, cen­tros edu­ca­ti­vos, dis­tri­tos, gra­dos es­co­la­res, nú­me­ros de iden­ti­fi­ca­ción, gé­ne­ro, etnia, idio­ma prin­ci­pal y es­ta­tus de apren­di­za­je del in­glés, ade­más de datos sobre dis­ca­pa­ci­da­des, adap­ta­cio­nes para exá­me­nes, re­sul­ta­dos y cier­tas de­sig­na­cio­nes es­pe­cia­les. No obs­tan­te, las no­ti­fi­ca­cio­nes acla­ran que los ar­chi­vos ro­ba­dos no in­cluían nú­me­ros de Se­gu­ro So­cial, cla­ves de ac­ce­so, in­for­ma­ción fi­nan­cie­ra ni datos de los pa­dres o tu­to­res.

Tras de­tec­tar­se la ac­ti­vi­dad no au­to­ri­za­da, ETS des­ac­ti­vó la cuen­ta uti­li­za­da por el ata­can­te, dio de baja el sitio afec­ta­do y de­sa­rro­lló una nueva pla­ta­for­ma con ma­yo­res me­di­das de se­gu­ri­dad, co­la­bo­ran­do asi­mis­mo con au­to­ri­da­des y es­pe­cia­lis­tas en ci­ber­se­gu­ri­dad para dis­mi­nuir el ries­go de que la in­for­ma­ción sea di­vul­ga­da pú­bli­ca­men­te. Pa­ra­le­la­men­te, el CDE co­mu­ni­có la si­tua­ción a los ad­mi­nis­tra­do­res edu­ca­ti­vos y co­men­zó el envío de avi­sos a las fa­mi­lias afec­ta­das, ofre­cién­do­les ac­ce­so a ser­vi­cios gra­tui­tos de pro­tec­ción de iden­ti­dad.