Filtración de datos de PoinCampus

Los tipos de datos observados en este registro son fechas de nacimiento, direcciones de correo electrónico, nombres y números de teléfono. No se verificó ningún campo de contraseña o tarjeta de pago. No se añadieron a la lista de categorías de datos campos no verificados de tarjetas de pago, cuentas bancarias, mensajes privados, historiales médicos ni datos adicionales de perfil; solo se conservaron los campos respaldados por la evidencia.

En el contexto de una plataforma educativa, los mensajes falsos sobre cursos, certificados, cuentas de estudiantes o notificaciones de pago pueden resultar convincentes. Una dirección de correo electrónico por sí sola supone un riesgo de recibir mensajes no deseados; al combinarse con un número de teléfono, una dirección, una IP, una fecha de nacimiento, una contraseña, planes de viaje, información parcial de una tarjeta o datos de un dispositivo, facilita que un atacante genere mensajes personalizados para el usuario. La evaluación del riesgo tuvo en cuenta este efecto combinado.

El alcance se confirmó con el registro (89.116), fechado en noviembre de 2024. Se conservaron los aspectos confirmados y se excluyeron los no confirmados. El incidente no se combinó con conjuntos de datos de nombres similares, incidentes de la misma empresa correspondientes a otros períodos ni referencias incorrectas al sector.

El registro se limita al dominio poincampus.com y no se ha combinado con otras plataformas educativas. El nombre del dominio, el nombre de la empresa y la información del sector se mantuvieron en el contexto correcto más acotado posible. En los casos de incertidumbre, el indicador de verificación o el dominio del sitio web se configuraron en consecuencia; así, se evitó presentar al usuario una atribución incierta de responsabilidad a una marca.

Los grupos de usuarios en riesgo pueden incluir a estudiantes de PoinCampus, participantes de cursos y usuarios que hayan abierto una cuenta educativa. Los usuarios cuyos datos coincidan con este registro también deben evaluar otras cuentas en las que utilicen el mismo correo electrónico, número de teléfono, nombre de usuario o patrón de contraseña fuera del servicio en cuestión.

La fecha de nacimiento y la información telefónica aumentan especialmente los riesgos para la privacidad y de ingeniería social en los perfiles de estudiantes. Si existe un contexto relacionado con correo electrónico corporativo, cuentas educativas, reservas de hotel, suscripciones de telecomunicaciones, comunidades de videojuegos, donaciones a proyectos de código abierto o software de seguimiento, el riesgo de ingeniería social puede aumentar. Los detalles que parecen correctos no son, por sí solos, una garantía de confianza.

Los usuarios afectados deben verificar en la plataforma oficial los mensajes sobre educación, certificados, pagos de cursos y verificación telefónica. En los registros que incluyan un campo de contraseña, se deben actualizar todas las cuentas que utilicen la misma contraseña; en los registros sin un campo de contraseña, la atención debe centrarse en los riesgos relacionados con el correo electrónico, el teléfono, las notificaciones falsas, la privacidad y la vinculación de identidades.

En lugar de hacer clic en los enlaces del mensaje, se debe escribir manualmente la dirección del servicio correspondiente o utilizar la entrada guardada en un gestor de contraseñas de confianza. Los mensajes sobre envíos, alertas de cuentas, recompensas de videojuegos, soporte, notificaciones para donantes, reservas de viajes, avisos de seguridad o renovaciones de suscripciones no deben considerarse fiables sin verificarlos por un canal independiente.

Se debe limitar la divulgación innecesaria de fechas de nacimiento y números de teléfono en las plataformas educativas, y utilizar contraseñas únicas para las cuentas de estudiantes. Los usuarios deben eliminar periódicamente las cuentas antiguas, los campos de perfil innecesarios, los nombres de usuario duplicados y la información desactualizada de teléfonos y direcciones. La regla básica debe ser utilizar una contraseña única para cada servicio y activar la autenticación de dos factores siempre que sea posible.

Por parte de los proveedores de servicios, se requiere minimizar los datos, proteger adecuadamente las contraseñas, supervisar los registros de acceso, eliminar los campos innecesarios y mantener preparados los procesos de notificación a los usuarios. Las plataformas educativas deben proteger con mayor rigor los datos de contacto y las fechas de nacimiento de los usuarios jóvenes. Explicar el alcance con precisión también forma parte del trabajo de seguridad; la información exagerada o incompleta puede llevar al usuario a tomar medidas equivocadas.

En primer lugar, debe comprobar este registro con su dirección de correo electrónico. Si se encuentra una coincidencia, debe asumir que su fecha de nacimiento, número de teléfono, nombre y correo electrónico pueden estar en riesgo, y verificar los mensajes relacionados con la educación. No encontrar una coincidencia no descarta por completo el uso de un correo electrónico diferente ni la reutilización de una contraseña antigua; también debe revisar las cuentas críticas.

Este registro se ha verificado y actualizado para marcarlo como sensible. En esta edición, los campos de datos se mantuvieron como categorías canónicas en inglés, la descripción visible para el usuario se redactó en turco con un texto original, no se añadieron campos no verificados y el indicador de sensibilidad se utilizó únicamente cuando el contexto de riesgo lo justificaba.