La filtración en Frontline Education ya tiene cifra total, y es grande: 3.085.266 personas. La empresa lo comunicó a la Fiscalía General de Indiana en un aviso que SecurityWeek publicó este 9 de noviembre, y el número más que duplica los cerca de 1,3 millones que sumaban los avisos estatales conocidos desde el 3 de noviembre. Los datos de estudiantes y de empleados de distritos escolares forman el grueso del robo.
Frontline Education vende programas de administración para distritos de educación primaria y secundaria en Estados Unidos, el tramo conocido como K-12. Los atacantes sacaron información de dos productos: Frontline Central, usado para expedientes de personal, y School Health Management, la herramienta de salud escolar. Esa mezcla explica la lista de datos: junto a nombres de empleados aparecen historiales ligados a la enfermería de las escuelas.
La entrada fue corta y precisa. Datos de la empresa recogidos por SecurityWeek indican que los intrusos explotaron una vulnerabilidad en un producto de software de un tercero para colarse en parte de su entorno. Frontline detectó la intrusión el 14 de agosto y afirma que el ataque quedó contenido por completo al día siguiente, el 15 de agosto. Dos días de actividad bastaron para llevarse expedientes de millones de personas.
El producto de terceros explotado sigue sin nombre público. Frontline tampoco ha identificado a los responsables, y ningún grupo de ciberdelincuentes se ha atribuido el ataque. Esa ausencia de firma deja el caso en una zona incómoda: hubo robo confirmado de información, con aviso formal a las autoridades de varios estados, pero la pieza que permitiría a otros proveedores revisar si comparten el mismo fallo continúa guardada.
Seguro Social, licencias y Medicaid en la misma lista
El contenido robado cambia de una persona a otra. El aviso enumera nombres, números de Seguro Social, fechas de nacimiento, licencias de conducir, pasaportes y otras identificaciones oficiales, datos de seguro médico con números de Medicaid y números de identificación de estudiante. Medicaid es el programa público de salud para familias de bajos ingresos, y su número identifica al menor en el sistema sanitario.
Un número de Seguro Social de un niño vale oro en el fraude por una razón fría: nadie revisa el crédito de un menor durante años. Un delincuente abre cuentas con esa identidad y el daño aparece tarde, a veces cuando el joven cumple 18 años y pide su primer crédito. La víctima típica no recibe estados de cuenta ni alertas.
El patrón se repite en la región con otros protagonistas. En República Dominicana, el Instituto Tecnológico de Las Américas vivió su propio susto con un supuesto hackeo al ITLA e investigación por robo de datos, un recordatorio de que los centros de enseñanza guardan expedientes completos de personas que rara vez vigilan su identidad digital. La Frontline Education filtración lleva ese mismo problema a escala de millones de expedientes en decenas de distritos.
Las notificaciones avanzaron por capas. Frontline avisó primero a los distritos, y las personas afectadas reciben cartas o correos directos. Los avisos ante las fiscalías de Massachusetts, New Hampshire, Carolina del Sur, Texas y Vermont sumaban 1.298.917 afectados; el de Indiana fijó el total en 3.085.266. Casi tres meses pasaron entre la intrusión de agosto y la cifra completa.
Dos años de monitoreo de crédito para los adultos
Los adultos afectados en Estados Unidos reciben dos años gratuitos de monitoreo de crédito y protección contra robo de identidad, con TransUnion, una de las tres grandes agencias de crédito del país. Para los menores, la oferta es monitoreo de la web oscura, el rastreo de foros y mercados donde se venden datos robados. La inscripción vence el 31 de enero de 2027, fecha que las familias deben anotar: pasada esa ventana, la protección gratuita se pierde.
El aviso incluye un centro de llamadas, el 1-800-759-7279, para quienes reciban la carta y quieran confirmar si su nombre figura entre los afectados. Frontline repite en su página del incidente que la actividad quedó contenida el 15 de agosto y que cerró el acceso sobre el mismo producto de terceros que abrió la puerta a los intrusos aquel fin de semana.
El riesgo inmediato para las familias no es solo el crédito. Con nombres, escuelas y datos de salud escolar en circulación, un correo de suplantación puede citar el distrito correcto, el producto correcto y hasta el programa de salud del menor. Ese nivel de detalle hace creíble cualquier mensaje que pida «confirmar» información, y los distritos ya fueron advertidos de esperar campañas de ese estilo dirigidas a padres y empleados.
Frontline afirma que corrigió el fallo de seguridad del producto de terceros y reforzó sus defensas tras contener el ataque. El aviso de Indiana del 9 de noviembre, con sus 3.085.266 nombres, es la foto más completa del caso hasta hoy, y deja una pregunta abierta con fecha: el nombre del producto explotado, el dato que otros clientes de ese mismo software necesitan para revisar sus sistemas, sigue sin publicarse.
Fuente: SecurityWeek
