El Departamento de Educación de California (CDE) ha notificado a estudiantes y familias sobre una brecha de datos en uno de sus contratistas, Educational Testing Service (ETS). La brecha de datos de estudiantes de California en ETS es un recordatorio de que la privacidad de los expedientes escolares depende de cada empresa que tiene acceso a ellos, no solo de las escuelas mismas.

El CDE está distribuyendo el Aviso de Brecha de Datos de ETS para ayudar a garantizar que las personas afectadas reciban información sobre el incidente y el apoyo disponible para ellas. Esto es lo que se ha informado hasta ahora y lo que las familias pueden hacer al respecto.

Qué ocurrió en Educational Testing Service

Según los informes sobre el incidente, una parte no autorizada utilizó un inicio de sesión comprometido para acceder a un sitio de transferencia de archivos operado por ETS, la organización sin ánimo de lucro que gestiona las pruebas para el estado. La cobertura indica que el intruso copió expedientes de estudiantes entre el 22 de mayo y el 18 de septiembre. Se trata de una ventana de aproximadamente cuatro meses en la que una única credencial robada parece haber seguido siendo útil.

Ese detalle importa. El incidente no se describió como una intrusión sofisticada en los propios sistemas del estado. Involucró un inicio de sesión y un sitio de transferencia de archivos utilizado para mover datos de pruebas entre organizaciones. Las credenciales que son robadas, reutilizadas o que quedan sin protecciones sólidas se encuentran entre las formas más comunes en que los atacantes acceden a los sistemas, y el acceso prolongado puede pasar desapercibido sin una supervisión estrecha.

Un comentarista de seguridad citado en la cobertura situó el número de expedientes de estudiantes comprometidos en siete millones y describió los graves riesgos empresariales y de responsabilidad que tal compromiso crea para las organizaciones que poseen datos de estudiantes. Las cifras exactas pueden refinarse a medida que continúe la investigación, así que trate las cifras iniciales como preliminares.

Qué datos de estudiantes se expusieron y quién está en riesgo

Los informes dicen que la información robada incluye nombres, fechas de nacimiento, condición de discapacidad y resultados de pruebas de estudiantes de California. Cada uno de estos conlleva riesgos diferentes:

  • Nombres y fechas de nacimiento son componentes básicos para el robo de identidad y para intentos de suplantación convincentes.
  • La condición de discapacidad es altamente sensible. A diferencia de una contraseña, no se puede cambiar, y su exposición puede causar daños mucho más allá del fraude financiero.
  • Los resultados de pruebas son expedientes educativos que las familias razonablemente esperan que se mantengan privados.

Las personas más afectadas son los estudiantes de California cuyos datos de pruebas pasaron por el sitio de transferencia de archivos de ETS, lo que podría incluir a estudiantes actuales y, potencialmente, a estudiantes anteriores dependiendo de cuánto tiempo se conservaron los expedientes. Los jóvenes son un objetivo especialmente atractivo para los ladrones de identidad porque a menudo no tienen historial crediticio, por lo que el uso indebido puede pasar desapercibido durante años.

Si recibió un aviso del CDE o de ETS, tómelo en serio y léalo con atención. El aviso es la fuente más fiable sobre lo que se aplica a usted y qué servicios se están ofreciendo.

Por qué los contratistas educativos son un eslabón débil

Las escuelas y las agencias estatales rara vez gestionan todos los sistemas por sí mismas. Las pruebas, las plataformas de aprendizaje y el procesamiento de datos a menudo se subcontratan, lo que significa que la información de los estudiantes se copia en sistemas gestionados por otras organizaciones. Cada traspaso crea otro lugar donde los datos pueden quedar expuestos, y las familias normalmente no tienen voz sobre qué proveedores se utilizan.

Esta brecha encaja en un patrón. Hemos cubierto cómo una segunda brecha de datos de Canvas interrumpió exámenes en Penn State y más allá, otro caso en el que un proveedor de tecnología que sirve a muchas instituciones se convirtió en el punto de fallo. Cuando un proveedor sirve a millones de estudiantes, una sola debilidad puede afectarlos a todos a la vez.

Vale la pena hacer tres preguntas a cualquier proveedor educativo:

  1. ¿Cuánto tiempo se conservan los datos? Los expedientes que ya no son necesarios deberían eliminarse. Los archivos antiguos que permanecen en un sitio de transferencia son una responsabilidad.
  2. ¿Cómo se protege el acceso? Un único inicio de sesión robado no debería ser suficiente para acceder a millones de expedientes.
  3. ¿Con qué rapidez se detectan las anomalías? Un acceso que persiste durante meses sugiere lagunas de supervisión que vale la pena examinar.

Qué significa esto para usted

Si usted es padre, tutor o estudiante en California, no necesita entrar en pánico, pero sí debe actuar. Los datos presuntamente involucrados son información personal estable, por lo que el riesgo puede durar mucho después de que el ciclo de noticias avance.

Una VPN no protege contra este tipo de brecha, ya que los datos se tomaron del servidor de un proveedor en lugar de su conexión. Las defensas más útiles son las que se indican a continuación.

  • Congele el crédito. Una congelación de crédito es gratuita y bloquea la mayoría de los intentos de abrir nuevas cuentas a nombre de un estudiante. Los padres generalmente pueden solicitar congelaciones para menores; consulte los procedimientos de las agencias de crédito para el proceso.
  • Esté atento al phishing. Los atacantes que conocen el nombre, la fecha de nacimiento y el contexto escolar de un estudiante pueden escribir mensajes muy convincentes. Desconfíe de correos electrónicos o mensajes de texto inesperados sobre pruebas, becas o la propia brecha, y diríjase directamente a los sitios oficiales en lugar de hacer clic en enlaces.
  • Utilice el apoyo ofrecido. Si el aviso incluye monitoreo o asistencia, inscríbase promptly y conserve una copia del aviso.
  • Asegure las cuentas. Utilice contraseñas únicas y autenticación multifactor en el correo electrónico y las cuentas escolares, ya que el correo electrónico suele ser la llave para restablecer todo lo demás.
  • Mantenga registros. Anote fechas, avisos y cualquier actividad sospechosa en caso de que necesite disputar un fraude más adelante.

Conclusiones prácticas

La brecha de datos de estudiantes de California en ETS demuestra que la solidez de las promesas de privacidad de una escuela está limitada por su proveedor más débil. Las familias no pueden solucionar eso por sí solas, pero pueden reducir el daño y presionar por mejores prácticas.

  • Congele el crédito de los estudiantes afectados y de los adultos del hogar.
  • Trate los mensajes inesperados sobre pruebas o la brecha como sospechosos hasta que se verifiquen a través de canales oficiales.
  • Pregunte a su escuela, distrito y cualquier proveedor cuánto tiempo se conservan los datos de los estudiantes y quién tiene acceso a ellos.
  • Siga las actualizaciones del CDE y de ETS a medida que se desarrolle la investigación.

Esta no es la primera vez que la tecnología educativa se ve afectada, y los incidentes de Canvas sugieren que no será la última. Mantenerse informado y hacer preguntas directas sobre la retención de datos es uno de los pasos más prácticos que las familias pueden tomar.