California: robados vía SFTP de ETS datos de millones de alumnos

El Departamento de Educación de California (CDE) ha avisado a los alumnos de las escuelas públicas del estado de que sus datos personales se copiaron de los sistemas de un proveedor: Educational Testing Service (ETS), la organización sin ánimo de lucro que gestiona por cuenta del estado los exámenes obligatorios CAASPP (rendimiento escolar) y ELPAC (dominio del inglés). El atacante no explotó ninguna vulnerabilidad: según el aviso del CDE, recogido por SecurityWeek y The Record, usó una credencial de acceso comprometida para entrar en varias ocasiones, entre el 22 de mayo y el 18 de septiembre de 2026, en el sitio SFTP con el que ETS intercambiaba los datos de los exámenes con el departamento.

Qué ha pasado

ETS detectó la actividad no autorizada el 25 de septiembre, una semana después del último acceso conocido y unos cuatro meses después del primero. Desactivó la cuenta usada por el intruso, desconectó todo el sitio SFTP y está construyendo una nueva plataforma con protecciones más sólidas.

Según SecurityWeek, el CDE informó a los responsables escolares de condados y distritos y a las escuelas chárter con una carta del 2 de octubre; las comunicaciones a las familias empezaron el 16 de octubre y seguirán hasta principios de noviembre. A los alumnos afectados, actuales y antiguos, se les ofrece un servicio gratuito de protección de la identidad durante dos años.

Mientras tanto, ETS ha suspendido el tratamiento ordinario de los datos de matrícula y algunas actividades de los exámenes, mientras se evalúa la seguridad de sus sistemas. The Record informa de que el CDE está comprobando, con los expertos en ciberseguridad del estado, si ETS cumplió los requisitos de seguridad de los datos y las obligaciones contractuales.

Cuántos alumnos y qué datos

El aviso oficial no da una cifra. Habla de información sobre alumnos de California «incluidos, entre otros, todos los matriculados en los tres cursos anteriores», además de los alumnos que dejaron una escuela californiana desde 2006 sin que su traslado a otra escuela se confirmara al CDE. SecurityWeek y The Record recuerdan que en 2025-2026 había más de 5,7 millones de alumnos matriculados en las escuelas públicas del estado; DataBreaches.net, citando las primeras informaciones, habla de 7 millones de alumnos: es la única fuente que da esta cifra.

Los archivos copiados pueden contener:

• nombre, fecha de nacimiento, domicilio, escuela, distrito y curso;
• identificador estatal (SSID) e identificadores locales del alumno;
• género, origen étnico, lengua principal, país de origen y condición de alumno que aprende inglés;
• discapacidad, tipo de discapacidad principal, condición «Section 504» y adaptaciones para los exámenes;
• derecho a los programas Title I, McKinney-Vento (alumnos sin hogar) y para hijos de militares;
• nivel de inglés, inscripción, participación y resultados de las pruebas estatales.

Según el aviso, no había números de la seguridad social, contraseñas, datos bancarios ni de tarjetas de pago, ni información sobre padres y tutores.

Detalles técnicos

• Vector de ataque: acceso con credenciales válidas a un servidor SFTP expuesto a internet, usado como punto de intercambio entre proveedor y cliente. Las fuentes oficiales no explican cómo se comprometió la credencial ni dicen si la cuenta estaba protegida con un segundo factor.
• Duración: accesos repetidos durante unos cuatro meses (22 de mayo–18 de septiembre), detectados solo el 25 de septiembre.
• MITRE ATT&CK (mapeo nuestro, según los hechos descritos): T1078 (Valid Accounts) para el acceso inicial y la persistencia; los archivos se copiaron a través del mismo servicio legítimo. Las fuentes no mencionan malware.
• Atribución: ninguna. Según The Record, hasta el martes 20 de octubre ningún grupo había reivindicado el ataque.
• Publicación de los datos: tras trabajar con las fuerzas del orden y con expertos en ciberseguridad, ETS afirma haber tomado medidas para reducir el riesgo de que los datos se hagan públicos; un portavoz del CDE se negó a explicar cuáles. La vigilancia de la web que hace ETS no ha encontrado, por ahora, los datos publicados.
• Indicadores de compromiso: ninguno publicado.

The Record recuerda que los proveedores de servicios para la escuela son un objetivo recurrente, con incidentes anteriores que afectaron a PowerSchool, Instructure, Illuminate Education, McGraw Hill y Kaplan.

Impacto para las empresas europeas e italianas

El esquema también es habitual en Europa: un cliente que confía a un proveedor datos masivos y un punto de intercambio de archivos (SFTP o plataforma de transferencia) protegido por una sola credencial, a menudo compartida y nunca rotada, que sigue activo durante años. Escuelas, administraciones públicas, sanidad y empresas que envían datos a proveedores de nóminas, exámenes, logística o análisis corren el mismo riesgo.

Datos como la discapacidad están entre las categorías especiales del RGPD (art. 9), y aquí se refieren a menores: para el responsable no basta con que la brecha se produjera en el encargado del tratamiento. Para las entidades NIS2, la seguridad de la cadena de suministro es una de las medidas de gestión del riesgo exigidas, y un proveedor que recibe datos en bloque debe evaluarse y vigilarse como parte de tu propio perímetro.

Qué hacer ya

1. Haz inventario de los puntos de intercambio de archivos con los proveedores: quién los gestiona, qué cuentas existen, qué datos pasan por ellos y cuánto tiempo se quedan en el servidor.
2. Refuerza la autenticación: cuentas nominativas para cada persona o sistema, claves SSH en lugar de contraseñas, segundo factor donde el servicio lo permita, acceso limitado a las direcciones IP conocidas del proveedor.
3. Rota las credenciales de servicio y desactiva las que no se usan; comprueba si las cuentas de tu dominio aparecen en brechas conocidas.
4. Registra y vigila las descargas: alertas por volúmenes inusuales, horarios nocturnos, direcciones o países nuevos. Cuatro meses de accesos sin una alerta indican que esos controles faltaban o que nadie los leía.
5. Reduce los datos: en el servidor de intercambio, solo los archivos necesarios y durante el tiempo necesario; nada de archivos históricos de décadas.
6. Revisa los contratos: obligación de notificación rápida, derecho de auditoría y requisitos mínimos de seguridad para el punto de intercambio, como prevé el art. 28 del RGPD.

Cómo ayuda ARXDOME

ARX Expose señala las cuentas de la empresa implicadas en brechas y muestra los puertos y servicios expuestos en internet, servidores SFTP incluidos. En los servidores supervisados, el agente de ARX Sentry recoge registros y eventos de seguridad, y las páginas de identidad del SOC muestran inicios de sesión fallidos, uso de credenciales explícitas, accesos nocturnos y cambios en las cuentas; ARX Horizon enriquece cada conexión con país, operador y listas de amenazas.

Última actualización: 20 de octubre de 2026