Filtración de datos de CodeStepByStep en 2025

El registro de CodeStepByStep incluye direcciones de correo electrónico, nombres y nombres de usuario. Como estos campos no contienen directamente una contraseña, el riesgo de que alguien tome el control de una cuenta es más limitado que en las filtraciones de contraseñas. Sin embargo, el identificador educativo, la vinculación con una institución educativa o el nombre de usuario utilizado para programar podrían relacionarse con otras plataformas. Los atacantes pueden enviar mensajes dirigidos con señuelos como notificaciones falsas de cursos, avisos de tareas, mensajes de cierre de cuentas, ofertas de certificados o invitaciones a comunidades de desarrolladores. Las contraseñas, los números de teléfono, las direcciones, las calificaciones, la información de pago y el contenido de archivos de código fuente no figuran en este registro, por lo que no se han incluido.

El registro mantiene su estado de verificado, y las declaraciones de la propia plataforma también respaldan la existencia del incidente. Sin embargo, las categorías de datos son limitadas. Dado que las cifras del conjunto de registros anunciado inicialmente difieren de las del conjunto más amplio publicado después, este registro utiliza el alcance total actualizado. Como no hay un campo de contraseña, no se presenta el incidente como si se hubiera filtrado la contraseña del usuario. Debe considerarse un riesgo de vinculación entre el identificador educativo y el correo electrónico. No se debe suponer que se haya expuesto el mismo nivel de detalle sobre todos los usuarios ni que se haya filtrado el contenido de los cursos.

Están en riesgo los estudiantes, los docentes, los participantes en cursos de informática y quienes utilizan el mismo nombre de usuario en plataformas basadas en Git, foros técnicos o sistemas escolares. La combinación de nombre y correo electrónico hace que los mensajes educativos falsos resulten más convincentes. Si el nombre de usuario coincide con el de perfiles técnicos, los atacantes pueden vincular cuentas de distintas plataformas. Los usuarios registrados con un correo de su institución educativa o de un curso deben prestar especial atención a los mensajes sobre tareas, calificaciones o acceso que parezcan enviados en nombre de la institución.

Los usuarios para los que se detecte una coincidencia en CodeStepByStep deben revisar la configuración de Seguridad de la cuenta y los ajustes de privacidad de las plataformas técnicas en las que utilicen el mismo nombre de usuario. Como el campo de contraseña no figura en el registro, no es necesario alarmarse ni considerar obligatorio cambiarla; sin embargo, si la contraseña utilizada en ese servicio es débil o se reutiliza en otros sitios, debe cambiarse. No se debe acceder directamente desde los enlaces de correos relacionados con educación, tareas, exámenes, certificados o acceso a cuentas; su autenticidad debe verificarse a través del dominio conocido. Si se utiliza una cuenta de una institución educativa, deben seguirse las directrices de seguridad de esa institución.

Utilizar el mismo nombre de usuario, correo electrónico y nombre real en todas las plataformas educativas y de programación aumenta el riesgo de que se vinculen los perfiles. Los usuarios deben mantener sus cuentas personales, educativas y de desarrollador lo más separadas posible. Se debe utilizar una contraseña única para cada plataforma y activar la autenticación de dos factores en las cuentas técnicas. Los estudiantes deben revisar periódicamente sus perfiles en plataformas de cursos antiguos y cerrar las cuentas que ya no utilicen. Los docentes deben utilizar únicamente canales oficiales para las listas de clase y las comunicaciones con los estudiantes.

Si se detecta una coincidencia en CodeStepByStep durante la monitorización de LeakData, el usuario debe considerarla una advertencia sobre la visibilidad de su identificador educativo y su correo electrónico. La coincidencia no indica una filtración de contraseñas ni de datos de pago. El primer paso es comprobar si se utiliza el mismo nombre de usuario en otras plataformas técnicas. El segundo es adquirir el hábito de verificar los mensajes de phishing con temática educativa. El tercero es adoptar de forma permanente la autenticación de dos factores y el uso de contraseñas únicas en las cuentas educativas o de desarrollador.