Presunta exposición de datos de ShowMe

Cuando una dirección de correo electrónico y una contraseña aparecen en el mismo registro, los atacantes pueden intentar iniciar sesión de forma automatizada en otros sitios. Si la afirmación de que la contraseña estaba en texto plano es cierta, el riesgo es inmediato, sin necesidad de intentar recuperar la contraseña a partir de su hash. Las direcciones de correo electrónico utilizadas en plataformas educativas suelen estar vinculadas a una escuela, una cuenta personal o una cuenta corporativa, lo que hace más convincentes los mensajes de phishing. Si el usuario utiliza la misma contraseña en sus cuentas de correo electrónico, sistemas de gestión del aprendizaje, redes sociales o servicios para compartir archivos, una filtración en un servicio educativo puede afectar a cuentas más críticas. La edad de los estudiantes y el contexto escolar también hacen que sus cuentas sean especialmente sensibles.

ShowMe aparece en listas de datos abiertas con fechas, cifras y categorías de datos similares; sin embargo, la verificación es limitada porque la empresa no ha publicado una notificación directa. El registro de LeakData muestra el número aproximado de filas de usuarios, y no debe suponerse que cada fila corresponde a una persona distinta. En este registro, aparte de las direcciones de correo electrónico y el campo de contraseña, no se han añadido campos de calificaciones de estudiantes, contenido de clases, tarjetas de pago ni documentos de identidad. La afirmación de que el campo de contraseña aparece en texto plano se tiene en cuenta en la evaluación del riesgo, pero las limitaciones del alcance se indican claramente para no transmitir al usuario una certeza injustificada.

Los docentes, estudiantes, padres y creadores de contenido educativo que hayan utilizado ShowMe pueden estar en riesgo. Las cuentas educativas antiguas suelen quedar en el olvido; sin embargo, utilizar la misma contraseña para el correo escolar, el correo personal u otras herramientas de aprendizaje amplía la superficie de ataque. Las cuentas de docentes presentan un mayor riesgo de ingeniería social por sus vínculos con las clases, la comunicación con los estudiantes y el contenido compartido. Los estudiantes, por su parte, pueden ser más vulnerables a mensajes falsos que aparenten ofrecer recompensas, materiales de clase, tareas o verificaciones de cuenta. Si las cuentas de correo electrónico de los padres se ven comprometidas, también pueden aparecer mensajes fraudulentos relacionados con la escuela y los pagos.

Los usuarios cuyos datos coincidan deben dejar de utilizar en todos los servicios cualquier contraseña que puedan haber usado en su cuenta de ShowMe. También deben cambiar esa misma contraseña o las variantes creadas mediante pequeñas modificaciones. Deben utilizarse contraseñas robustas y únicas para las cuentas de correo electrónico, las cuentas escolares, el almacenamiento en la nube y las plataformas de aprendizaje, y debe activarse la autenticación multifactor. Los docentes y administradores deben revisar los enlaces antiguos de las clases y los materiales compartidos. Los mensajes inesperados sobre clases, pagos, descargas de documentos o renovaciones de cuenta que lleguen a las cuentas de estudiantes o padres deben verificarse a través de canales oficiales. Utilizar un gestor de contraseñas reduce el riesgo de reutilización.

Las instituciones deben aplicar políticas de seguridad para las cuentas de tecnología educativa que tengan en cuenta la edad y el rol del usuario, así como la sensibilidad de los datos. Las contraseñas nunca deben almacenarse en un formato legible, y deben utilizarse algoritmos hash modernos y reglas que exijan contraseñas robustas. Los registros antiguos de clases y usuarios no deben conservarse innecesariamente, y debe facilitarse a docentes y estudiantes el cierre de sus cuentas. Para los usuarios, crear contraseñas distintas para cada herramienta educativa, mantener el correo escolar separado de las cuentas personales y revisar periódicamente las notificaciones de seguridad ofrece una protección duradera. Las familias también deben incluir las cuentas educativas antiguas de sus hijos en las revisiones de seguridad.

La comprobación de LeakData le permite saber si su dirección de correo electrónico coincide con la de su registro en ShowMe. Si hay una coincidencia, la medida más importante es completar el restablecimiento de la contraseña; esta acción no debe limitarse a la cuenta de ShowMe. Cambie las contraseñas de las cuentas de correo electrónico, escolares, de redes sociales y de servicios en la nube en las que haya utilizado la misma contraseña. La ausencia de coincidencias puede dejar fuera las cuentas educativas antiguas creadas con otras direcciones de correo electrónico. Los docentes y padres pueden revisar el historial de las cuentas consultando a los responsables de seguridad de su institución. Aunque el nivel de verificación de este registro sea limitado, es necesario actuar sin demora ante la afirmación sobre el campo de contraseña.