El uso de credenciales de inicio de sesión vulneradas provocó el robo de información personal correspondiente a estudiantes actuales y anteriores de las escuelas públicas del estado de California, a través del sistema de transferencia de archivos de la organización Educational Testing Service (ETS), según anunció el Departamento de Educación de California (CDE).
ETS es una organización sin fines de lucro encargada de administrar las pruebas exigidas por el estado y el gobierno federal mediante contratos oficiales, brindando soporte a los programas de evaluación estatales (CAASPP y ELPAC), y utilizaba un sitio de Protocolo Seguro de Transferencia de Archivos (SFTP) para compartir datos de exámenes con el Departamento de Educación. La organización detectó actividad inusual en el sitio el 25 de septiembre, mientras que las investigaciones señalaron que los accesos iniciales se remontan a finales del mes de mayo.
El aviso de brecha emitido por el Departamento de Educación indicó que una parte no autorizada utilizó credenciales de acceso vulneradas en momentos dispersos entre el 22 de mayo de 2026 y el 18 de septiembre de 2026 para acceder al servidor SFTP y copiar archivos que contenían datos de estudiantes. Aunque no se proporcionó una cifra exacta del número de víctimas, el aviso confirma que se accedió y copió por completo la información de los estudiantes matriculados en los últimos tres años académicos, además de extenderse el impacto para incluir a estudiantes que abandonaron las escuelas de California desde el año 2006 sin que se confirmara oficialmente su traslado.
¿Qué contienen los datos filtrados?
Los registros a los que se accedió incluyeron diversos detalles como nombres de los estudiantes, fechas de nacimiento, direcciones residenciales, escuelas, distritos y grados escolares, números de identificación local y estatal, género, raza o origen étnico, idioma principal, país de origen y estado de aprendizaje del idioma inglés. Asimismo, algunas entradas incluyeron información sobre condiciones de discapacidad y clasificaciones de la Sección 504, adaptaciones para exámenes, datos de competencia lingüística, resultados e incidencias de registro en los exámenes, además de indicadores de elegibilidad para diversos programas de apoyo.
Las autoridades aclararon que los archivos filtrados no contenían números de Seguro Social, contraseñas, detalles financieros ni tarjetas de pago, y la infracción tampoco afectó los datos de padres y tutores.
Respuesta y medidas técnicas
Tras el descubrimiento, ETS procedió a cerrar la cuenta utilizada en la brecha y a desactivar por completo el sitio SFTP, comenzando a construir un sitio alternativo dotado de controles de seguridad más estrictos. La organización trabajó con expertos en ciberseguridad y fuerzas del orden para mitigar el riesgo de publicación de los datos en internet, afirmando que el monitoreo de la red no ha detectado hasta el momento evidencias de que los datos hayan sido filtrados públicamente.
En cuanto a las notificaciones, el Departamento de Educación informó a los superintendentes escolares y distritos educativos el 2 de octubre, mientras que el envío de notificaciones individuales a los estudiantes afectados comenzó el 16 del mismo mes y se espera que continúe hasta principios de noviembre, en paralelo con la suspensión temporal del procesamiento de datos de matriculación y ciertas labores de evaluación hasta que se evalúe la seguridad de los sistemas.