Filtración de datos de University of Phoenix (3,49 millones de personas afectadas)

Un tercero no autorizado explotó una vulnerabilidad de Oracle EBS desconocida en ese momento y extrajo datos del entorno de la universidad entre el 13 y el 22 de agosto de 2025. La universidad tuvo conocimiento del posible incidente el 21 de noviembre y confirmó la transferencia no autorizada de datos el 24 de noviembre.

El documento presentado por la empresa ante la SEC señala que el incidente no interrumpió las operaciones ni los programas académicos para los estudiantes. Eso no significa que la información personal no se viera afectada; el incidente involucró datos almacenados en el entorno del software empresarial.

Según las notificaciones oficiales, la información afectada puede incluir nombres, fechas de nacimiento, números de la Seguridad Social, números de cuenta bancaria y números de ruta bancaria.

No todos los tipos de datos enumerados correspondían necesariamente a cada persona. La notificación al organismo regulador de Washington indica que los números de cuenta y de ruta bancaria figuraban sin información que permitiera acceder a las cuentas.

La Fiscalía General de Texas informa de un total de 3 489 274 personas afectadas, entre ellas 304 393 residentes de Texas. Por separado, el documento presentado en Washington informa de 64 796 residentes afectados en ese estado.

Un número de la Seguridad Social y una fecha de nacimiento pueden facilitar el robo de identidad, las solicitudes fraudulentas de apertura de cuentas o los intentos de fraude relacionados con el historial crediticio de una persona. Los datos de cuentas bancarias también pueden hacer que un mensaje fraudulento parezca referirse a una transacción financiera real.

Si recibe un mensaje inesperado que afirma proceder de la universidad, de un proveedor de préstamos estudiantiles o de un banco, utilice el canal de contacto oficial de la organización en lugar de seguir un enlace incluido en el mensaje. Que los datos sobre sus estudios o su cuenta sean correctos no demuestra que el remitente esté autorizado.

La universidad investigó el incidente con la ayuda de especialistas externos en ciberseguridad, instaló los parches de software publicados por Oracle e informó a las fuerzas del orden. Ofreció a las personas afectadas servicios gratuitos de protección de la identidad a través de IDX.

Quienes hayan recibido una notificación pueden inscribirse en el servicio de protección ofrecido antes de la fecha límite indicada y revisar periódicamente sus informes de crédito y cuentas bancarias para detectar actividad que no reconozcan. También puede ser conveniente solicitar una alerta de fraude o una congelación del crédito, según las circunstancias de cada persona.

Si aparece una transacción que no reconoce, contacte directamente con el banco o la entidad de crédito correspondiente. No comparta contraseñas, códigos de un solo uso ni información de pago en respuesta a una llamada o un mensaje inesperados.