Un pirata informático copió datos de millones de estudiantes de California de la empresa de exámenes ETS

SACRAMENTO, California. El Departamento de Educación de California dijo el viernes que un pirata informático copió información personal de millones de alumnos de escuelas públicas de un sistema operado por Educational Testing Service, la organización sin fines de lucro que gestiona los exámenes estatales de California.

El departamento dijo que el intruso llegó a los archivos de todos los estudiantes matriculados en los tres años escolares anteriores. Solo en el año escolar 2025-26 había más de 5,7 millones de alumnos en las escuelas públicas de California, y la información sobre el aviso estatal indicó que algunos exalumnos también están afectados, con registros que llegan hasta 2006 en el caso de alumnos que dejaron el estado sin una transferencia confirmada. Ni el departamento ni ETS han publicado una cifra exacta de personas afectadas.

Qué datos se copió

El aviso estatal dijo que los archivos copiados varían según el estudiante. Pueden incluir el nombre del menor, su dirección, su fecha de nacimiento, su escuela, su distrito y su grado, junto con los números de identificación estatal y local del alumno. Los archivos también pueden contener el género, la raza o el origen étnico, el idioma principal, el país de origen y la condición de estudiante de inglés. En el sistema también había registros sobre discapacidad y situación bajo la Sección 504, adaptaciones para los exámenes y elegibilidad para ayudas federales como los programas Title I y McKinney-Vento, además de la inscripción, la participación y los resultados de los exámenes y los registros de nivel de inglés.

Las autoridades dijeron que los archivos no incluían números de Seguro Social, números de licencia de conducir o de pasaporte, datos bancarios o de tarjetas, contraseñas de cuentas ni información personal de los padres o tutores.

Una contraseña robada, usada durante meses

ETS gestiona las evaluaciones estatales de California, entre ellas los exámenes Smarter Balanced y las Evaluaciones de Dominio del Inglés para California. La intrusión afectó un sitio seguro de transferencia de archivos que ETS y el estado usan para intercambiar datos de evaluación de los estudiantes.

Según el aviso estatal, ETS detectó actividad no autorizada en el sitio el 25 de septiembre y abrió una investigación con expertos externos en ciberseguridad. La investigación encontró que alguien que usaba una credencial de acceso comprometida copió archivos en varias ocasiones entre el 22 de mayo y el 18 de septiembre de 2026. ETS desactivó la cuenta, desconectó el sitio y después construyó un sitio nuevo con controles más fuertes. La organización dijo que trabaja con las fuerzas del orden y que su vigilancia no ha encontrado señales de que la información copiada se haya hecho pública hasta ahora.

Los directivos de los distritos conocieron el incidente por una carta estatal fechada el 2 de octubre, que también decía que el procesamiento normal de datos de matrícula se había detenido. El aviso público llegó el 16 de octubre, y ETS empezó ese mismo día a escribir a los estudiantes y las familias afectados. Se espera que las notificaciones continúen hasta principios de noviembre.

Por qué importa una sola contraseña

El caso ha provocado preguntas duras sobre cómo una sola contraseña robada pudo abrir durante meses los archivos de millones de niños sin que nadie lo notara. Anton Dahbura, del Instituto de Seguridad de la Información de la Universidad Johns Hopkins, dijo a los periodistas que una credencial robada nunca debería funcionar como un pase de meses a los registros de los estudiantes, y preguntó por qué los controles adicionales, los límites de acceso y la vigilancia no detuvieron antes la copia de archivos.

ETS defendió sus prácticas en un comunicado y dijo que ha añadido medidas de seguridad desde el descubrimiento. El departamento estatal de educación dijo que trabaja con otras agencias del estado para determinar el alcance completo del incidente y para dar a las familias afectadas información clara y apoyo.

Por ahora, las autoridades piden a las familias que estén atentas a llamadas, mensajes y correos sospechosos que digan venir de ETS o de agencias estatales, y que usen los canales de ayuda indicados en las cartas de aviso. Las familias de niños pequeños también pueden preguntar a las agencias de crédito por un registro protegido o un congelamiento para un menor de 16 años, una medida que impide abrir cuentas nuevas a nombre del niño.

Fuentes

Reuters, Cybernews y el aviso del Departamento de Educación de California informaron sobre la intrusión, sus fechas y las categorías de datos de estudiantes afectadas.