El hackeo que negó durante un mes Castilla y León: un alumno que accedió al sistema de 'ausencias' de clase

El alumno que presuntamente usurpó la identidad de un profesor para acceder al portal web Educacyl, que aloja miles de datos de familias y profesores, pudo tener acceso al sistema de “ausencias”, según ha detallado este viernes el Instituto Nacional de Ciberseguridad (Incibe) en una comunicación.

Los Cuerpos y Fuerzas de Seguridad del Estado ya investigan este acceso no autorizado y el posible alcance, para saber a qué datos pudo tener acceso y si estos están en riesgo, según explicó ayer el portavoz de la Junta de Castilla y León, Carlos Fernández Carriedo. La Consejería de Educación trasladó hace dos días que el 31 de mayo detectó un incidente de seguridad en el sistema de gestión de ausencias del alumnado, que compromete los datos personales que pudieran estar en dicha base de datos.

Según la Consejería, el hecho fue confirmado el 2 de junio —aunque ese día se les negó a los medios, a los que se les informó de que había sido una falsa alarma— e “inmediatamente se fortalecieron los controles de seguridad, se notificó a la Agencia Española de Protección de Datos (AEPD) el 3 de junio y se presentó denuncia ante la Guardia Civil”. Sin embargo, no se ha hecho público hasta ahora, con el curso escolar ya terminado.

Ese 2 de junio, cuando la Consejería ya había confirmado el incidente, la titular de Educación, Rocío Lucas, lo negó y dijo: “Cuando aparece algo así, evidentemente tienes que analizar y ver si hay algo de cierto; y lo que hicimos fue ponernos en contacto con la Consejería de Movilidad para ver cómo estaban, si había alguna situación rara, y nos han transmitido que todo funciona con plena normalidad”.

Y una semana después, en sesión plenaria, la titular de Educación reconoció un “intento de acceso no autorizado” a su portal de Educación, cuando ya tenían confirmado ese acceso según lo trasladado al Incibe.

Datos expuestos

Como explica la Consejería en su comunicación, los datos que han quedado expuestos en este acceso no autorizado son: nombre, apellidos, DNI/NIE, fecha de nacimiento, nacionalidad, dirección, teléfono y correo electrónico de los usuarios de esta plataforma, es decir, de familias, alumnos y docentes.

Asimismo, para controlar los posibles daños, Educación ha indicado que se han implementado una serie de medidas técnicas para responder al incidente: refuerzo de los sistemas o aplicaciones afectadas, implementación de nuevos filtros en la red corporativa y alertas de monitorización.

Los ciberdelincuentes podrían emplear la información que han obtenido para diferentes tipos de estafas, como pueden ser suplantación de identidad, realizar envíos masivos de correos no deseados o llamadas fraudulentas, ha alertado por su parte el Incibe.