Filtración de datos de Columbia University (3,1 millones de personas afectadas)

El registro de Texas sitúa el periodo de acceso entre el 16 de mayo y el 24 de junio de 2025. Tras la interrupción del 24 de junio, Columbia protegió sus sistemas, contrató a especialistas externos en ciberseguridad y declaró que no había observado nuevos accesos no autorizados a la red.

La universidad comenzó a enviar las primeras notificaciones en agosto de 2025 y completó una revisión más amplia y el envío de notificaciones adicionales en 2026. El campo de fecha de descubrimiento del registro de Texas, que indica el 8 de julio, corresponde a una fase posterior de la investigación; el 24 de junio se mantiene como la fecha de detección operativa comunicada por la universidad.

Una declaración inicial presentada ante el regulador en 2025 informó de un grupo más reducido de 868 969 personas. Una revisión posterior identificó información de personas sin vinculación directa con Columbia que se había facilitado en el pasado mediante procesos de captación de estudiantes o de concesión de becas, lo que elevó el total actual del registro de Texas a 3 067 242.

Ars Technica informa de que estuvieron implicados aproximadamente 1,8 millones de números de la Seguridad Social. Se trata de un subconjunto de la población afectada correspondiente a un campo de datos específico; no deben sumarse el número inicial de personas notificadas, el total nacional actual y el subconjunto de números de la Seguridad Social.

Según la persona, la información afectada puede incluir nombres, direcciones, fechas de nacimiento, números de la Seguridad Social, permisos de conducir u otros documentos de identificación oficiales, información sobre cuentas financieras, datos de seguros de salud y cierta información de salud, así como información sobre admisión, matrícula, historial académico y ayudas financieras.

Aunque la notificación oficial menciona cierta información de salud, indica que no hay pruebas de que se hayan visto afectados los historiales de pacientes del centro médico. No debe suponerse que todas las categorías correspondan a todas las personas; quienes hayan recibido una notificación directa deben basarse en los campos indicados en sus propias cartas.

La información sobre números de la Seguridad Social, fechas de nacimiento y documentos de identificación oficiales, combinada con datos del historial académico o de ayudas financieras, puede hacer más convincentes los intentos fraudulentos relacionados con créditos, impuestos, becas o recuperación de cuentas.

Quienes reciban una notificación deben revisar sus informes crediticios, considerar la posibilidad de solicitar un bloqueo del crédito o una alerta de fraude y comprobar si hay cambios inesperados en sus cuentas tributarias o de ayudas estudiantiles. La inscripción en el servicio de monitoreo de Columbia debe realizarse únicamente a través del canal indicado en la notificación oficial.

Los atacantes pueden utilizar datos reales sobre el centro educativo, las solicitudes, la matrícula o las ayudas financieras en mensajes falsos sobre becas, documentación faltante, reembolsos de cuotas, deudas o verificación de cuentas. Que la información personal sea correcta no demuestra que el remitente represente a la universidad.

Verifique de forma independiente cualquier solicitud de pago, documentos o identificación a través del dominio oficial de Columbia o de otro canal que ya conozca. No utilice enlaces, números de teléfono ni archivos adjuntos de un mensaje inesperado para realizar esa verificación.

Una coincidencia positiva vinculada a este incidente es motivo suficiente para revisar los campos de la notificación recibida por la persona y aplicar las medidas adecuadas para proteger su identidad, su crédito y sus cuentas educativas. No demuestra que todas las categorías correspondieran a esa persona ni que se haya hecho un uso indebido de los datos.

Un resultado negativo no garantiza que no exista ningún registro en otro incidente. Toda persona que haya recibido una notificación directa de Columbia debe cumplir los plazos y seguir las medidas de protección que esta indique, aunque no tenga una relación actual con la universidad.