Una filtración de datos escolares está generando mucha preocupación en México: más de un millón de estudiantes podrían estar en riesgo tras un hackeo a Servoescolar, una plataforma que usan al menos 1,600 escuelas en todo el país para gestionar todo tipo de información académica y personal.
Se ha confirmado que miles de cuentas de estudiantes están siendo ofrecidas en grupos de cibercriminales. Estos espacios, que suelen operar en plataformas como Telegram o SimpleX, están pidiendo acceso directo a cuentas de Servoescolar. Para facilitar el proceso, los atacantes están usando bots automatizados (como uno conocido con el nombre de Akula) que entregan "muestras" con hasta 100 contraseñas reales de distintas escuelas.
Lo más alarmante es que si alguien quiere acceder a más datos, solo tiene que pagar y recibe más paquetes con credenciales. Todo este sistema facilita que personas con malas intenciones puedan cometer fraudes, suplantar identidades o manipular información escolar, afectando directamente a estudiantes, docentes y familias enteras.
Accesos reales a cuentas con datos muy sensibles
Durante la revisión de lo ocurrido, se confirmó algo muy alarmante: al menos 50 cuentas activas de Servoescolar estaban completamente accesibles. Esto significa que cualquiera con esos accesos podía entrar sin restricciones a los perfiles reales de estudiantes que actualmente están inscritos.
Dentro de estas cuentas se encontró información muy delicada, como:
-
Nombre completo del estudiante y de sus padres o tutores
-
Fecha y lugar de nacimiento
-
CURP del alumno
-
Dirección exacta y código postal
-
Números de celular y correos electrónicos, tanto de los alumnos como de sus familias
-
Matrícula, grupo y carrera o plan de estudios
-
Todo el historial académico, con calificaciones incluidas
-
Fotografías actuales de los estudiantes
-
Estados de cuenta con detalles de pagos, mensualidades y posibles adeudos
-
Información financiera relacionada con el pago de colegiaturas
En resumen, todo lo que alguien necesita para robar una identidad o cometer fraude estaba ahí, disponible con solo unos clics. Es una situación que pone en juego no solo la privacidad, sino también la seguridad de miles de estudiantes y sus familias.
Entre los datos filtrados hay CURP, direcciones, fotos de los alumnos, información sobre pagos y sus calificaciones escolares.
Desde niños hasta universitarios: El alcance del problema
Lo más preocupante de este caso es que el riesgo no se limita a un solo nivel educativo. Servoescolar es una plataforma que usan tanto colegios de educación básica (como preescolar, primaria y secundaria), como universidades y hasta escuelas de posgrado privadas. Es decir, los datos filtrados afectan a estudiantes de todas las edades, desde niños muy pequeños hasta jóvenes adultos en etapas profesionales.
Entre las escuelas que se sabe utilizan Servoescolar están universidades como Vizcaya de las Américas, Kino, Pontificia de México, La Salle Pachuca o Cuauhtémoc de Guadalajara, y también colegios e institutos como Margil, Oriente, Hispano Inglés, Cervantes, Colegio España, Del Valle, Tierra Nueva, IDENAP, Prepa Lorentz, Universidad del Golfo de California, Nuevos Horizontes Global School, Pablo de Anda y el sistema UIEST, entre muchos otros.
Según análisis hechos en plataformas de inteligencia digital como White Intel y Dehashed, se estima que al menos 15 mil cuentas de usuarios ya fueron comprometidas directamente. Y esto no se detiene ahí: los bots que manejan estos datos siguen activos y siendo alimentados con nuevas credenciales, así que es probable que la cifra siga aumentando con el paso de los días.
Infostealers fueron clave para robar contraseñas en las escuelas (Fuente:White Intel)
Podría interesarte leer: Filtración Masiva Credenciales de INE de Mexicanos en la Dark Web
El gran problema: casi sin barreras de seguridad
Uno de los errores más graves de esta plataforma es que no cuenta con barreras reales para frenar accesos no autorizados. No hay verificación en dos pasos (2FA), ni alertas por inicios de sesión sospechosos, ni bloqueos por ubicación geográfica fuera de lo común. En muchos casos, con solo tener el usuario y la contraseña filtrada, puedes entrar sin que nadie lo detecte. Es como si dejaras la puerta abierta con un cartel que dice “pasa libre”.
¿Cómo consiguen los hackers las contraseñas escolares?
El origen de estas filtraciones es variado, pero hay dos caminos muy comunes:
-
Malware espía (infostealers): Muchos estudiantes, padres o personal escolar tienen en sus computadoras o celulares programas maliciosos que roban automáticamente las contraseñas guardadas en navegadores o apps sin que se den cuenta.
-
Combos de contraseñas filtradas: En la dark web circulan enormes listas llamadas combolists, donde hay millones de correos electrónicos con contraseñas reutilizadas. Los hackers las prueban en distintos sitios hasta que encuentran combinaciones que siguen funcionando.
Luego, con herramientas automáticas como el bot Akula, pueden filtrar los accesos específicamente a plataformas como Servoescolar y venderlos a otros grupos delictivos. Es todo un mercado digital basado en datos robados.