En lo que parece ser una represalia por no pagar por un rescate de información, un usuario denominado 'bb3extra' filtró de forma gratuita datos confidenciales de alumnos y maestros de la Universidad Marista de San Luis Potosí en un foro de hackers.
De acuerdo con la publicación, los datos fueron extraídos el 15 de abril de 2024; posteriormente, según un comunicado de la misma universidad publicado en su sitio web, el 17 de abril alumnos de la institución recibieron un mensaje en el sistema de control escolar en el que advertían que un hacker se había apropiado de su información personal y solicitaba que informaran a la universidad para hacer un depósito de dinero.
Aunque la universidad bloqueó los accesos al sistema y aseguró que ningún ciberatacante logró acceder a la información individual de alumnos y personal, este 23 de abril el caso tomó un giro inesperado: se liberó la información de forma gratuita.
De acuerdo con las pruebas que publicó el presunto hacker en el foro, sus archivos cuentan con instrucciones de SQL para insertar datos en dos tablas de una base de datos, incluyendo información de contacto personal, con campos para nombres, direcciones de correo electrónico, números de teléfono y direcciones físicas. Este tipo de datos es considerado sensible ya que puede incluir información de identificación personal.
El atacante además exhibió evidencias de cómo se ve el sistema de datos. En estas pruebas se muestran imágenes que incluyen fotografías de profesores y alumnos, así como su clave personal por parte de la Secretaría de Educación Pública (SEP) y hasta la matrícula de cada estudiante.
Publimetro México se comunicó con el analista de ciberseguridad Nicolás Azuara, quien reveló que queda en duda si el incidente ocurrió el día en el que se publicó el mensaje en el sistema o fue simplemente la culminación de un ataque con mayor duración. Asimismo, aseguró que la universidad debió anticipar la vulneración de la información a su cargo en lugar de afirmar que no había existido la sustracción de los datos.
"Si un atacante logró mostrar un mensaje a los alumnos que ingresaron al sistema, se debe contemplar el peor escenario: que las bases de datos pudieron ser comprometidas"
— Nicolás Azuara, analista de ciberseguridad
Azuara también destacó que el tratamiento de datos personales siempre debe ser un asunto delicado y no se puede tomar a la ligera una vulneración: "Analizar el alcance de un incidente de ciberseguridad es complejo y depende en gran medida de una buena configuración en sistemas y equipos. Su carencia permitiría a un atacante realizar un sinfín de acciones sin que exista registro de estas actividades".
Finalmente, cabe destacar que la universidad, en su comunicado, que continúa fijado en su sitio web, afirmó que "el caso será presentado ante las autoridades y la policía cibernética".