Ciberataque a evaluaciones estatales en California: qué información fue robada y cómo proteger a los menores

Hackers robaron los datos personales de cerca de 7 millones de estudiantes de escuelas públicas de California. Durante casi cuatro meses, los atacantes extrajeron nombres, direcciones, fechas de nacimiento y registros de discapacidad del sistema que administra los exámenes estandarizados obligatorios del estado. Las autoridades educativas lo anunciaron el viernes 16 de octubre, informó Los Angeles Times.

La filtración afectó a Educational Testing Service (ETS), la organización sin fines de lucro que gestiona las evaluaciones estatales, incluidos los exámenes Smarter Balanced y las pruebas de competencia en inglés (ELPAC).

Según el Departamento de Educación de California (CDE), un intruso utilizó credenciales de acceso comprometidas para ingresar a un sitio de transferencia segura de archivos (SFTP) y copiar información de los alumnos en distintos momentos entre el 22 de mayo y el 18 de septiembre de 2026.

ETS no detectó la actividad hasta el 25 de septiembre, una semana después de que el acceso no autorizado cesara. Los líderes de los distritos escolares habían sido notificados el 2 de octubre, dos semanas antes del anuncio público.

La brecha abarca registros que datan de 2006

El alcance del incidente supera ampliamente la matrícula actual. El CDE precisó que la información robada comprende a todos los alumnos inscritos en los tres ciclos lectivos previos. Pero la exposición se extiende todavía más atrás: estudiantes que abandonaron el sistema educativo californiano sin confirmar su transferencia a otra escuela también resultaron afectados, con datos que se remontan hasta 2006.

La información copiada varía según cada caso, pero puede incluir nombre completo, fecha de nacimiento, dirección, escuela, distrito, grado, número de identificación estudiantil estatal (SSID), género, raza o etnia, idioma principal, país de origen, condición de aprendiz de inglés, tipo de discapacidad, estatus bajo la Sección 504, adaptaciones para exámenes y participación en programas federales como Title I y McKinney-Vento, destinados a alumnos de familias de bajos ingresos o en situación de calle.

Datos financieros y números de Seguro Social no comprometidos

Las autoridades aclararon que la filtración no incluyó números de Seguro Social, licencias de conducir, pasaportes, información de cuentas bancarias, tarjetas de crédito o débito ni contraseñas. Tampoco se vio expuesta información personal de padres o tutores legales.

ETS aseguró que ningún otro cliente de la organización resultó afectado. “ETS mantiene un programa integral de seguridad informática que es evaluado periódicamente por terceros”, indicó la portavoz Christine Betaneli en declaraciones recogidas por el Los Angeles Times.

Añadió que la empresa implementó medidas adicionales, entre ellas un monitoreo reforzado, controles de acceso más estrictos y una nueva revisión externa de sus prácticas de seguridad. Además, el sitio SFTP comprometido fue dado de baja y reemplazado por uno nuevo.

La falla estructural que permitió meses de acceso con una sola credencial

Si bien ETS defendió sus protocolos, un experto en ciberseguridad expresó preocupación por la magnitud de la falla. “Una credencial robada no debería convertirse en un pasaporte de meses a los registros personales de millones de estudiantes”, afirmó Anton Dahbura, director ejecutivo del Instituto de Seguridad Informática de la Universidad Johns Hopkins, al mismo diario.

Dahbura señaló que el incidente revela una debilidad estructural en la gestión de datos estudiantiles: los sistemas escolares pueden tercerizar el almacenamiento y procesamiento de información sensible, pero no pueden tercerizar las consecuencias de una filtración.

“Cuando millones de registros de estudiantes se concentran en un solo proveedor, un fallo de seguridad se convierte en un problema estatal con consecuencias que persiguen a los menores durante años”, advirtió.

Medidas recomendadas para las familias afectadas

El CDE informó que los estudiantes actuales y exalumnos afectados —incluidos quienes ya son adultos— tienen derecho a 24 meses de servicios gratuitos de protección de identidad a través de Experian IdentityWorks, servicio de monitoreo de identidad de la agencia de crédito Experian, así como asistencia para la restauración de identidad en caso de robo.

Las autoridades recomendaron a padres y tutores considerar la solicitud de un congelamiento de crédito gratuito para hijos menores de 16 años, una medida que impide la apertura de cuentas no autorizadas a su nombre. También instaron a la precaución ante correos electrónicos, llamadas telefónicas o mensajes de texto inesperados que invoquen el incidente, incluidos los que afirmen provenir de ETS, del estado o de una empresa de monitoreo crediticio.

“No proporcionen números de Seguro Social, contraseñas, información financiera ni otros datos personales sensibles en respuesta a solicitudes inesperadas”, advirtieron las autoridades.

Para consultas, el CDE habilitó una línea telefónica 833-931-8488, disponible de lunes a viernes entre las 6 a.m. y las 6 p.m., hora del Pacífico. Quienes crean ser víctimas de robo de identidad pueden comunicarse con la Comisión Federal de Comercio (FTC) o con la oficina del fiscal general de su estado.

Sin evidencia de difusión pública, pero con riesgo latente

Hasta el momento, ETS no encontró indicios de que la información sustraída haya sido difundida públicamente.

Sin embargo, las autoridades no descartaron la posibilidad de un pedido de rescate, una táctica habitual en la que los atacantes retienen los datos como herramienta de presión. El comunicado oficial no especificó si se recibió una demanda de ese tipo.

Una serie de ataques que golpearon al sistema educativo californiano en los últimos años

No es la primera vez que el sistema educativo californiano sufre un ataque de este tipo. En mayo de 2026, el grupo de hackers ShinyHunters vulneró Instructure, la empresa detrás de Canvas, una de las plataformas educativas más utilizadas en el país.

El ataque dejó fuera de servicio a la plataforma y afectó clases, tareas y preparación de exámenes finales de cientos de miles de estudiantes y profesores en universidades de California. Instructure anunció que llegó a un acuerdo con el atacante para que devolviera los datos comprometidos, aunque reconoció que no había forma de garantizar que todas las copias hubieran sido destruidas.

El antecedente más recordado en el estado fue el ciberataque al Distrito Escolar Unificado de Los Ángeles durante el fin de semana largo del Día del Trabajo de 2022. Las autoridades del distrito cerraron todos los sistemas informáticos para contener el daño y obligaron a más de 600.000 usuarios a restablecer sus contraseñas.

El distrito rechazó pagar un rescate. Aunque el entonces superintendente Alberto Carvalho minimizó inicialmente el impacto, una investigación del Los Angeles Times reveló que entre los archivos filtrados había evaluaciones psicológicas de alumnos, registros disciplinarios de empleados, antecedentes penales y datos de nómina con números de Seguro Social.