Una credencial robada expuso datos de millones de alumnos de California

Una sola credencial de acceso robada le alcanzó a un intruso para copiar, durante casi cuatro meses, los datos de los estudiantes de las escuelas públicas de California. El archivo copiado incluye, como mínimo, a todos los alumnos inscritos en los últimos tres ciclos lectivos, según el aviso del Departamento de Educación de California (CDE). Solo en el ciclo 2025-2026 hubo más de 5,7 millones de inscritos.

Los datos estaban en un servidor de Educational Testing Service (ETS), la organización sin fines de lucro que toma los exámenes estatales obligatorios por contrato con el estado, entre ellos las pruebas CAASPP y ELPAC. ETS usaba un sitio SFTP, un sistema de transferencia segura de archivos, para intercambiar los resultados con el departamento.

Cuatro meses sin que nadie lo notara

"La investigación determinó que un tercero no autorizado usó una credencial de acceso comprometida en distintos momentos entre el 22 de mayo y el 18 de septiembre de 2026 para ingresar al sitio SFTP y copiar archivos con información de estudiantes de California", dice el aviso. ETS detectó la actividad recién el 25 de septiembre, una semana después del último acceso.

El alcance no termina en los alumnos actuales. Según las preguntas frecuentes del CDE, también entran estudiantes que dejaron una escuela de California desde 2006 sin que se confirmara su pase a otra. Ni el departamento ni ETS dieron una cifra total de afectados.

El 2 de octubre el CDE avisó del incidente a los superintendentes de condado y de distrito y a los directivos de escuelas chárter. En esa carta contó que ETS frenó el procesamiento habitual de datos de inscripción y suspendió parte del trabajo de evaluación mientras revisaba la seguridad de sus sistemas. Las cartas a las familias empezaron a salir el 16 de octubre y van a seguir hasta principios de noviembre.

Qué datos se llevaron

Lo copiado varía según el alumno. Puede incluir nombre, fecha de nacimiento, domicilio, escuela, distrito y grado, el identificador estatal del estudiante y los números de identificación locales, género, raza o etnia, idioma principal, país de origen y si el alumno está aprendiendo inglés.

En algunos registros aparece información más sensible: la condición de discapacidad, el tipo de discapacidad principal, las adaptaciones que recibe para rendir y los resultados de sus exámenes. También puede figurar si el estudiante entra en programas federales para escuelas de bajos ingresos (Title I), para alumnos sin vivienda estable (McKinney-Vento) o para hijos de militares.

El aviso aclara que los archivos no tenían números de seguro social, contraseñas, cuentas bancarias ni tarjetas de pago, y que no hay datos de padres o tutores.

Lo que dice ETS y lo que falta saber

ETS dio de baja la cuenta usada por el intruso, sacó de línea el sitio SFTP y arma uno nuevo con más controles. "Tras trabajar con las fuerzas de seguridad y con expertos en ciberseguridad, ETS tomó medidas para reducir el riesgo potencial de que los datos se hagan públicos", afirma el aviso, sin explicar cuáles. La organización dice que su monitoreo de la web no encontró, hasta ahora, señales de que la información se haya publicado.

Los comunicados oficiales no explican cómo se robó la credencial ni identifican al atacante. Tampoco dicen si la cuenta tenía un segundo factor de autenticación, la verificación adicional que pide algo más que la contraseña.

ETS ofrece dos años gratis del servicio de protección de identidad Experian IdentityWorks a los alumnos actuales y anteriores afectados, incluidos los que hoy ya son adultos. Con nombre, domicilio, escuela y fecha de nacimiento en mano, un estafador puede armar mensajes que parecen legítimos y que se hacen pasar por ETS, por la escuela o por la propia empresa de monitoreo.

Quien reciba la carta puede inscribirse siguiendo sus instrucciones, y conviene confirmar cualquier otro contacto en las páginas oficiales del CDE antes de responder.