Filtración de datos de Scholastic

Cuando los campos de correo electrónico, nombre, teléfono y dirección aparecen juntos, se puede abordar al usuario como un cliente real o como miembro de una comunidad educativa. El contexto escolar puede hacer más convincentes los mensajes sobre pedidos de libros, ferias escolares, actividades de clase, cuentas de docentes o materiales educativos.

Cuando se combinan campos como el nombre, el correo electrónico, el teléfono, la dirección, el nombre de usuario o la ubicación, los atacantes pueden dirigirse al usuario como si existiera una relación legítima con un servicio. Esta información por sí sola no siempre implica que se haya tomado el control de una cuenta; sin embargo, puede utilizarse para phishing, solicitudes de soporte falsas, verificaciones de cuentas y esquemas de fraude personalizados. El registro no enumera campos de contraseñas ni de tarjetas de pago. Aun así, la información de dirección y teléfono puede utilizarse en mensajes falsos sobre entregas, pedidos escolares o atención al cliente. Es posible que algunos registros no contengan todos los campos; el riesgo principal está relacionado con la información de contacto y las direcciones.

La fecha del incidente figura como el 8 de enero de 2025, y el número de direcciones de correo electrónico afectadas es de 4 247 768. Las noticias de fuentes fiables y los registros de filtraciones indican que los datos de Scholastic contienen millones de direcciones de correo electrónico, junto con algunos registros que incluyen campos de nombre, teléfono y dirección postal.

Al explicar el alcance, no debe afirmarse que se hayan filtrado todos los datos educativos, los expedientes de estudiantes o las tarjetas de pago. El riesgo real es el phishing dirigido basado en información de contacto de clientes y en el contexto de la edición educativa.

Los usuarios en riesgo son clientes, docentes, padres o personas que participan en clubes de lectura o en procesos de pedidos escolares y que tienen una cuenta de Scholastic. Los usuarios cuyos datos incluyen un número de teléfono y una dirección pueden recibir mensajes dirigidos específicamente a ellos sobre envíos o actividades escolares.

Los mensajes relacionados con la educación pueden parecer fiables a los usuarios. Los atacantes pueden recurrir a temas como el nombre de la escuela, un pedido de libros, un evento o una cuenta de docente. Por ello, los padres y docentes deben comprobar los enlaces a través de canales oficiales.

Los usuarios cuya dirección de correo electrónico coincida con este registro deben comprobar que utilizan una contraseña única en su cuenta de Scholastic y en las cuentas de servicios educativos o comercios asociadas al mismo correo electrónico. Los mensajes sobre envíos, pedidos escolares o verificación de cuentas deben verificarse a través del sitio web oficial.

En lugar de abrir directamente los enlaces recibidos, el usuario debe iniciar sesión desde la dirección web conocida o la aplicación oficial del servicio correspondiente. Que una persona que le llama conozca su nombre, correo electrónico, dirección o información sobre sus pedidos o su perfil no demuestra que sea de confianza. No deben compartirse códigos de verificación de un solo uso, datos de tarjetas de pago ni contraseñas de cuentas en ninguna conversación de soporte.

A largo plazo, adoptar el hábito de utilizar un gestor de contraseñas, contraseñas únicas y autenticación de dos factores, así como eliminar de las cuentas la información personal innecesaria, reduce el riesgo. Reutilizar la misma dirección de correo electrónico en distintas plataformas facilita la combinación de datos de diferentes filtraciones; se puede considerar el uso de un correo electrónico o un alias independiente para las cuentas críticas.

Se deben eliminar periódicamente los datos de dirección y teléfono que no sean necesarios en las cuentas de servicios educativos y de compras orientadas a niños. Las escuelas y las familias deben adoptar un hábito específico de verificación ante enlaces de pago o entrega no oficiales.

La comprobación de LeakData indica si la dirección de correo electrónico consultada aparece en este registro. Un resultado positivo no significa necesariamente que todos los campos de datos pertenezcan con certeza a ese usuario; sin embargo, es una advertencia suficiente para tomar medidas preventivas. Un resultado negativo solo indica que no hay coincidencias en este conjunto de datos y no descarta la posibilidad de que la dirección aparezca en otras filtraciones.

Un resultado positivo aumenta el riesgo de recibir mensajes dirigidos sobre formación y entregas. Un resultado negativo significa que no hay coincidencias en este registro; también debe comprobarse el mismo correo electrónico en relación con otros servicios de formación.