Descubre Noticias de Ciberseguridad en nuestro TecnetBlog

Filtración en University of Phoenix Afecta a 3,5 Millones de Personas

Escrito por Jonathan Montoya | Dec 31, 2025 1:15:00 PM

Si alguna vez has estudiado, trabajado o tenido relación con una universidad grande, este caso te interesa más de lo que parece. La University of Phoenix, una de las instituciones educativas privadas más grandes de Estados Unidos, confirmó a finales de diciembre de 2025 una importante brecha de seguridad que afectó a más de 3,5 millones de personas.

Desde TecnetOne, analizamos este tipo de incidentes porque reflejan un problema estructural que va mucho más allá de una sola universidad: el sector educativo se ha convertido en un objetivo prioritario para los ciberdelincuentes, y las consecuencias para los afectados pueden durar años.

 

Qué pasó exactamente en la University of Phoenix

 

La universidad informó que el incidente se originó por un acceso no autorizado a un sistema externo, lo que permitió a terceros acceder a información personal sensible de:

 

  1. Estudiantes actuales

  2. Exalumnos

  3. Miembros del personal académico y administrativo

 

Aunque la notificación oficial se hizo pública el 22 de diciembre de 2025, la investigación interna reveló algo mucho más preocupante: el acceso inicial no autorizado ocurrió el 13 de agosto de 2025, pero no fue detectado hasta el 21 de noviembre de 2025.

Es decir, los atacantes tuvieron más de tres meses para moverse dentro de los sistemas antes de ser descubiertos.

 

El verdadero problema: una detección tardía

 

Este detalle es clave y no debería pasarte desapercibido. Una ventana de detección tan larga suele indicar fallos graves en los sistemas de monitoreo y respuesta.

En la práctica, esto significa que:

 

  1. No se detectaron comportamientos anómalos a tiempo

  2. No hubo alertas tempranas efectivas

  3. El incidente pudo haberse contenido antes, reduciendo su impacto

 

En ciberseguridad, el tiempo lo es todo. Cada día adicional que un atacante permanece dentro de un sistema aumenta exponencialmente el riesgo y la cantidad de datos comprometidos.

 

 

Qué tipo de datos se vieron comprometidos

 

La universidad no ha publicado un listado detallado y completo de la información expuesta, algo habitual en este tipo de incidentes mientras continúan las investigaciones. Sin embargo, según los documentos presentados ante los reguladores del estado de Maine, los datos comprometidos incluían nombres combinados con otros identificadores personales.

En este tipo de brechas, los expertos asumen que la información puede incluir:

 

  1. Nombres y apellidos completos

  2. Fechas de nacimiento

  3. Direcciones físicas y correos electrónicos

  4. Números de teléfono

  5. Posiblemente números de Seguridad Social

  6. Registros académicos o administrativos

 

Esta combinación de datos es especialmente peligrosa porque facilita robos de identidad, fraudes financieros y ataques de phishing altamente personalizados.

 

Por qué Maine fue clave en la notificación

 

Un detalle que quizá te sorprenda es la mención específica al estado de Maine. Al menos 9.131 residentes de ese estado se vieron afectados por la filtración.

Este número activó automáticamente las obligaciones legales de notificación bajo las leyes de protección de datos de Maine, que exigen a las organizaciones informar tanto a los reguladores como a las personas afectadas cuando se supera un determinado umbral.

Por este motivo, la University of Phoenix tuvo que presentar documentación formal ante las autoridades estatales y enviar notificaciones oficiales antes del 22 de diciembre de 2025.

 

Qué hizo la universidad tras descubrir el incidente

 

Tras confirmar la brecha, la institución adoptó varias medidas:

 

  1. Contrató al despacho legal Constangy, Brooks, Smith & Prophete, LLP para gestionar la respuesta legal y regulatoria

  2. Inició el proceso de notificación a los afectados

  3. Ofreció servicios gratuitos de protección contra el robo de identidad

 

Aunque la universidad ha comunicado que estos servicios están disponibles para los afectados, muchos detalles, como la duración exacta, el proveedor o el alcance de la cobertura; se han compartido en comunicaciones individuales, no en el anuncio público inicial.

 

Por qué este caso es especialmente grave

 

No estamos hablando de una pequeña empresa ni de una base de datos limitada. Las universidades almacenan información extremadamente sensible durante décadas:

 

  1. Historiales académicos

  2. Datos financieros

  3. Documentación legal

  4. Información personal que no suele cambiar con el tiempo

 

A diferencia de una tarjeta bancaria, que puedes cancelar y reemplazar, tu fecha de nacimiento o tu historial educativo no se pueden cambiar. Eso convierte este tipo de filtraciones en un riesgo a largo plazo.

Además, la University of Phoenix ya arrastraba un historial complejo de controversias regulatorias y escrutinio público. Este incidente supone un impacto reputacional significativo, que puede afectar tanto a la confianza de los estudiantes como a la percepción del sector educativo privado en general.

 

Lee más: Hackers Filtran Datos de Alumnos y Empleados de la Universidad Anáhuac

 

Qué debes hacer si crees que estás afectado

 

Si has tenido relación con la University of Phoenix, no basta con leer la notificación y seguir con tu vida. Desde TecnetOne, te recomendamos actuar de forma preventiva:

 

  1. Revisa con atención cualquier comunicación oficial de la universidad
  1. Activa o acepta el servicio de protección contra robo de identidad ofrecido
  1. Monitorea tus cuentas bancarias y tarjetas con regularidad
  1. Considera congelar tu crédito para evitar que se abran cuentas a tu nombre

  2. Desconfía de correos, llamadas o mensajes que usen tu relación con la universidad como gancho

 

Muchos ataques posteriores a una filtración utilizan exactamente este tipo de contexto para parecer legítimos.

 

Una señal de alarma para todo el sector educativo

 

Este incidente no es un caso aislado. Las instituciones educativas se han convertido en objetivos atractivos porque combinan tres factores críticos:

 

  1. Grandes volúmenes de datos personales

  2. Infraestructuras tecnológicas complejas y, a menudo, desactualizadas

  3. Presupuestos de ciberseguridad limitados frente a otros sectores

 

Para los atacantes, es una ecuación perfecta. Para las universidades, es un reto urgente que exige inversiones reales en detección temprana, respuesta a incidentes y protección de datos.

 

La lección que no deberías ignorar

 

El caso de la University of Phoenix deja una enseñanza clara: no basta con reaccionar cuando la filtración ya ha ocurrido.

La diferencia entre un incidente controlado y una crisis masiva suele estar en:

 

  1. La capacidad de detectar accesos anómalos rápidamente

  2. La segmentación de sistemas

  3. La madurez de los procesos de respuesta

 

En TecnetOne, insistimos en que la ciberseguridad no es solo una cuestión técnica, sino una responsabilidad directa con las personas cuyos datos confías.

Más de 3,5 millones de individuos ahora tendrán que convivir con el riesgo de fraude durante años. Ese es el verdadero impacto de una brecha de datos mal contenida.

Y es una advertencia que ninguna organización debería ignorar.