Los piratas informáticos robaron datos, incluidos los nombres, direcciones y registros de discapacidad de estudiantes actuales y anteriores de escuelas públicas de California que tomaron pruebas estandarizadas obligatorias por el estado que evalúan anualmente su desempeño académico, anunciaron el viernes funcionarios de educación.
La información comprometida afecta a muchos más que los 5,7 millones de estudiantes de escuelas públicas actuales del estado porque la violación se remonta a la inscripción de 2023. Los afectados fueron estudiantes que abandonaron California y no confirmaron su transferencia a otra escuela, remontándose al año 2006.
Se trata de una violación de datos Servicio de pruebas educativas o ETSProporciona servicios integrales a California.
Los líderes del distrito escolar recibieron la información el 2 de octubre, mientras que el primer aviso público fue el viernes.
Dice que los funcionarios de educación estatales “trabajarán inmediatamente con un equipo de agencias estatales para investigar el alcance y el impacto del incidente, incluidos los datos que pueden haber sido comprometidos”. Carta del Vicepresidente del Estado. María muy bien.
ETS, una organización de evaluación sin fines de lucro, ayuda a administrar y brindar servicios relacionados con las pruebas para los estudiantes matriculados en las escuelas públicas de California, incluidas las pruebas SMARTER Balanced requeridas que se administran en la primavera. En esta función, ETS mantiene la demografía de los estudiantes, la participación en las pruebas y los datos de evaluación.
La información expuesta incluye el nivel de grado del estudiante, la fecha de nacimiento y la escuela y el distrito a los que asisten los estudiantes. Los piratas informáticos también obtuvieron números de identificación personales de estudiantes e información sobre género, raza u origen étnico, idioma principal, país de nacimiento y condición de estudiante de inglés. También se expuso información sobre discapacidades estudiantiles y el estado de elegibilidad de los estudiantes para programas federales disponibles para ayudar a estudiantes de familias de bajos ingresos.
Los datos robados no incluían números de Seguro Social, números de licencia de conducir, números de pasaporte, información de cuentas financieras, información de tarjetas de crédito o débito ni contraseñas de cuentas. Ninguna información personal de ningún padre o tutor ha sido expuesta, dijeron los funcionarios.
ETS se llevará a cabo en septiembre. Se descubrió el hack el 25. Una investigación posterior encontró que “una parte no autorizada utilizó credenciales de inicio de sesión comprometidas para acceder al sitio y copiar archivos que contienen información de estudiantes de California en varios momentos entre el 22 de mayo y el 18 de septiembre de 2026”. Publicado por el Departamento de Educación de California.
No hay evidencia de que la información se haya hecho pública.
Las autoridades dijeron que aún no han encontrado ninguna evidencia de que esta información se haya hecho pública. Pero también es cierto que los piratas informáticos suelen mantener la información confidencial hasta el final de la demanda de rescate.
El comunicado oficial no dice si se ha realizado tal solicitud.
Un experto en seguridad cibernética expresó su preocupación de que una violación tan grande pudiera haberse basado en un nombre de usuario y contraseña comprometidos.
“Una credencial de inicio de sesión robada no debería convertirse en un pasaporte de un mes para los registros personales de millones de estudiantes”, dijo Anton Dahbura, director ejecutivo del Instituto de Seguridad de la Información de la Universidad Johns Hopkins. “Si eso es lo que sucedió aquí, la pregunta importante es por qué las salvaguardas de autenticación, los controles de acceso y los sistemas de monitoreo no logran detectar y detener la actividad no autorizada”.
Añadió: “Incidentes como este exponen una debilidad fundamental en la forma en que administramos los datos de los estudiantes: los sistemas escolares pueden subcontratar el almacenamiento y el procesamiento de información confidencial, pero no pueden subcontratar las consecuencias de una infracción. Cuando millones de registros de estudiantes se acumulan con un solo proveedor, una falla de seguridad puede convertirse en un problema a nivel estatal con consecuencias que siguen a los niños durante años”.
Un portavoz de ETS defendió las prácticas de la organización.
“EDS mantiene un programa integral de seguridad de la información que es evaluado periódicamente por terceros”, afirmó Christine Bettanelli. “Seguimos invirtiendo en la protección de los sistemas y datos que mantenemos”.
Betaneli dijo que ningún otro “cliente del ETS” se vio afectado.
“Hemos implementado salvaguardas adicionales, incluido un monitoreo mejorado, controles de acceso reforzados y una revisión por parte de terceros de nuestras prácticas de seguridad”, agregó Bettanelli.
Monitoreo de daños
Los exalumnos víctimas, incluidos los que ahora son adultos, son elegibles para recibir 24 meses de servicios gratuitos de protección de identidad y asistencia para restaurar la identidad en caso de robo de identidad.
Los padres y tutores tal vez quieran considerar solicitar un congelamiento de crédito gratuito para niños menores de 16 años para evitar que se abran cuentas no autorizadas a nombre de sus hijos, dijeron los funcionarios.
Los funcionarios advirtieron que “estén atentos a correos electrónicos, llamadas telefónicas o mensajes de texto inesperados” relacionados con el incidente, incluidos aquellos que afirman que la persona que llama es de ETS o de una agencia estatal o de monitoreo de crédito.
“No proporcione números de Seguro Social, contraseñas, información financiera u otra información personal confidencial en respuesta a solicitudes no solicitadas”.
Puede encontrar información adicional y actualizaciones aquí. Página web del evento del Servicio de Pruebas Educativas del CDE.
Otros trucos educativos notables
En mayo, un importante ciberataque causó caos en las universidades de California, cuando los piratas informáticos violaron la organización detrás de Canvas, una de las plataformas de tecnología educativa más utilizadas del país, donde se publican tareas de lectura, se realizan exámenes y los estudiantes conversan con los profesores.
La infracción dejó a la empresa, Instructure, Canvas fuera de línea temporalmente e interrumpió las clases, tareas y preparación de exámenes finales para cientos de miles de estudiantes y profesores.
Un grupo de hackers llamado ShinyHunters se atribuyó la responsabilidad del ataque. Instructor finalmente anunció que había llegado a un acuerdo con “el actor no autorizado involucrado” para devolver los datos comprometidos, pero no dijo quién era el actor ni si había dinero involucrado. Dijo que encontró evidencia de que se habían destruido copias de los datos, pero admitió que no había forma de saberlo con seguridad.
El ciberataque al Distrito Unificado de Los Ángeles durante el fin de semana del Día del Trabajo de 2022 fue el ataque cibernético más denunciado en un distrito escolar local.
Los funcionarios del distrito han tomado la medida sin precedentes de cerrar todos los sistemas informáticos del distrito para contener el daño. La escuela reabrió el martes, pero los estudiantes, las familias y el personal tuvieron que restablecer 600.000 contraseñas. Muchos dijeron que se había perdido toda una semana de instrucción y que los técnicos encontraron “cables trampa digitales” que quedaron para infectar aún más las computadoras. El peor daño ocurrió en la división de instalaciones, donde la mitad de los servidores estaban encriptados, lo que significaba que los empleados del distrito no podían acceder a sus propios sistemas y registros.
La administración del distrito confirmó la petición de rescate pero se negó a pagar.
El distrito primero mitigó el daño de la información comprometida. Diputado. Alberto Carvalho dijo que “no había pruebas de un impacto generalizado” y que las víctimas eran “extranjeros”.
Pero una revisión del Times de los archivos filtrados encontró una evaluación psicológica de un estudiante realizada en 2005, a pesar de que el distrito negó que dichos registros se hubieran filtrado. Encontró registros disciplinarios de empleados, informes de antecedentes penales de un trabajador, datos de nómina de contratistas, formularios de impuestos y pasaportes. Y una presentación posterior del condado ante el estado reconoció que más de 500 personas que trabajaban para contratistas del condado pueden haber expuesto números de Seguro Social y otra información confidencial. Posteriormente, el distrito informó que se publicaron alrededor de 2000 registros de evaluación de estudiantes, incluidos registros de 60 estudiantes actuales.