¿Cómo llegaron millones de datos escolares confidenciales a un servidor ucraniano? MPV

Joven estadounidense vulnera PowerSchool y desata investigación global

Notipress.- Un estudiante originario de Massachusetts aceptó declararse culpable por delitos federales tras un ataque informático contra una de las principales plataformas educativas de Estados Unidos. Matthew D. Lane, de 19 años, fue señalado por las autoridades como responsable del ingreso no autorizado al sistema interno de PowerSchool.

Durante los meses de agosto y septiembre de 2024, obtuvo acceso utilizando credenciales sustraídas de un contratista vinculado a la compañía. Posteriormente, extrajo registros confidenciales pertenecientes a más de 60 millones de estudiantes y 10 millones de docentes, los cuales contenían nombres, números de seguridad social, evaluaciones académicas, datos médicos y direcciones.

El contenido extraído fue transferido a un servidor remoto ubicado en Ucrania, de acuerdo con el informe presentado por los fiscales. Esta acción añadió una dimensión internacional al incidente, con implicaciones legales y diplomáticas adicionales.

Luego de la transferencia, se presentó una exigencia por parte del acusado: solicitó 2.85 millones de dólares en criptomonedas a cambio de no divulgar la información sustraída. PowerSchool confirmó en enero de 2025 haber realizado un pago para preservar la integridad de los datos, aunque no se reveló el monto exacto.

Varios distritos escolares notificaron intentos de extorsión durante diciembre del mismo año. Los atacantes aseguraban poseer copias de los datos obtenidos previamente. La empresa respondió que esos mensajes no estaban relacionados con un nuevo incidente, al coincidir con la información del ataque anterior.

Además de este caso, Lane enfrenta acusaciones por extorsión a una empresa de telecomunicaciones en 2022. El documento judicial menciona una exigencia de 200 mil dólares, sin identificar públicamente a la entidad afectada.

Por estos hechos, fue imputado por acceso no autorizado a sistemas protegidos, robo de identidad agravado y extorsión cibernética. Las autoridades federales anticipan una pena mínima de dos años de prisión, según lo estipulado en los cargos formales. Mediante un comunicado, PowerSchool indicó estar colaborando con los cuerpos de investigación y ofreció servicios gratuitos de monitoreo de crédito e identidad a los usuarios cuyos datos fueron comprometidos durante el incidente.

Escuelas de Estados Unidos y Canadá, principales usuarias del software educativo comprometido, se encuentran entre las más afectadas por esta intrusión. La empresa también opera en otros territorios, extendiendo el alcance del suceso.