Filtración de datos de OneClass (2020)

En este registro, los campos de datos respaldados por la evidencia se han limitado a direcciones de correo electrónico, nombres y apellidos, números de teléfono, información sobre centros educativos, nombres de cursos, información de matriculación y actividad de las cuentas. Las direcciones de correo electrónico y los números de teléfono generan un riesgo directo de contacto no deseado, mientras que la información sobre centros educativos, los nombres de cursos, los datos de matriculación y la actividad de las cuentas pueden permitir elaborar un perfil más detallado de la vida académica de una persona. Dado que no hay evidencia que respalde la presencia de un campo de contraseña, este registro no se describe como una filtración de contraseñas; sin embargo, la combinación de la identidad educativa con la información de contacto aumenta el riesgo de phishing dirigido, mensajes falsos de apoyo al alumnado e ingeniería social.

• Los estudiantes y los docentes pueden recibir mensajes falsos sobre centros educativos, becas, calificaciones o asistencia.
• El riesgo de fraude por varios canales aumenta cuando los números de teléfono y las direcciones de correo electrónico aparecen juntos.
• La información sobre centros educativos y cursos puede hacer que los mensajes parezcan personalizados y creíbles.
• La actividad de las cuentas puede aportar contexto adicional sobre el comportamiento del usuario en la plataforma.

En el caso de OneClass (2020), el alcance verificado incluye el dominio oneclass.com, el periodo de junio de 2020, 1 000 000+ personas y categorías de datos como direcciones de correo electrónico, nombres y apellidos, números de teléfono, información sobre centros educativos, nombres de cursos, información de matriculación y actividad de las cuentas. Este incidente mantiene el estado de verificado porque está respaldado por publicaciones independientes fiables y hallazgos de investigadores. No obstante, la descripción no abarca más allá de los campos de datos respaldados por la evidencia ni sugiere la existencia de campos como contraseñas, datos de tarjetas de pago, números de documentos oficiales de identidad o contenido de mensajes privados.

El registro se clasifica como sensible porque deja visible, de forma conjunta, la información sobre centros educativos, cursos y datos de contacto de estudiantes y personas vinculadas a la educación. Aunque estos datos por sí solos no contienen información financiera, pueden aumentar el riesgo de elaboración de perfiles personales, fraude dirigido y presiones basadas en la identidad educativa.

Se considera que el principal grupo de riesgo está formado por estudiantes, docentes y aspirantes que utilizan OneClass, así como por personas cuya información de contacto está asociada a una cuenta educativa. Los estudiantes, los padres, los docentes y quienes utilicen cuentas de apoyo académico deben extremar la cautela ante mensajes personalizados que incluyan un contexto educativo. El riesgo de que una persona sea objeto de ataques en distintos ámbitos es especialmente elevado cuando utiliza el mismo correo electrónico o número de teléfono para asuntos escolares, becas, servicios bancarios, redes sociales y solicitudes de empleo.

• Estudiantes que tienen una cuenta de OneClass o un perfil educativo
• Personas que utilizan sus datos de teléfono y correo electrónico en cuentas escolares
• Usuarios que pueden recibir mensajes dirigidos a ellos a partir de información sobre clases, centros educativos o matriculación
• Personas que suelen hacer clic rápidamente en enlaces procedentes de plataformas educativas

Si tiene una cuenta o un perfil educativo asociado a OneClass, revise con cuidado los mensajes inesperados que reciba por correo electrónico o teléfono sobre calificaciones de cursos, apoyo escolar, becas, verificación de cuentas o reembolsos. Aunque no hay evidencia que respalde la presencia de un campo de contraseña en este registro, sería prudente activar la autenticación multifactor en las cuentas críticas que utilicen la misma dirección de correo electrónico y actualizar la información de recuperación de las cuentas.

• Active la autenticación multifactor en su cuenta de correo electrónico.
• No abra enlaces sobre centros educativos, becas o asistencia que reciba en su teléfono sin verificarlos.
• Revise las opciones de recuperación de las cuentas críticas que utilicen la misma dirección de correo electrónico.
• Verifique directamente, a través del canal oficial, las solicitudes de pago y verificación que reciba en nombre de la institución educativa o de la plataforma.

Para protegerse a largo plazo en las plataformas educativas, es necesario separar las direcciones de correo electrónico según su finalidad, activar la autenticación multifactor en las cuentas escolares y tratar con cautela los enlaces de temática educativa recibidos por SMS y correo electrónico. Los datos educativos pueden afectar al usuario no solo en lo relativo a la seguridad de la cuenta, sino también al permitir inferir su perfil personal.

Entre las buenas prácticas para centros educativos, plataformas de cursos y estudiantes se encuentran realizar auditorías de acceso periódicas para abordar los riesgos de las bases de datos expuestas, cerrar las cuentas que no se utilizan, limitar los plazos de conservación de datos y sensibilizar al alumnado sobre el phishing. El incidente de OneClass demuestra que los datos educativos que no incluyen contraseñas también pueden plantear riesgos graves para la privacidad.

Si consulta el registro de OneClass (2020) en LeakData.io y obtiene un resultado, debe determinar qué dirección de correo electrónico o número de teléfono está afectado, con qué centro educativo o curso podría estar asociada esa información y en qué otras cuentas ha utilizado los mismos datos de contacto. El objetivo no es alarmarse, sino reforzar la protección frente a mensajes falsos que podrían estar relacionados con una identidad educativa.

Si aparece una nueva notificación oficial, un registro de un organismo regulador o una noticia independiente fiable sobre la filtración de datos de OneClass (2020), podría reevaluarse el alcance. Por el momento, el registro se mantiene como un incidente verificado, sensible y centrado en datos educativos; los usuarios deben proteger cuidadosamente sus canales de comunicación y sus cuentas escolares.