El Gobierno de Cantabria ha tardado un año en dar explicaciones detalladas a los usuarios de su plataforma educativa Yedra del hackeo (robo de datos) de que fue objeto en 2024. En aquel momento el suceso estuvo bajo secreto de sumario y se pensaba que afectaba únicamente a dos usuarios, pero tras la investigación de la Audiencia Nacional, y a requerimiento primero del Centro Criptográfico Nacional, la Consejería de Educación y ahora de la Policía Nacional, ha pedido a los usuarios este martes que cambien sus contraseñas para mayor seguridad y que no compartan claves de acceso.
“En ese momento no se consideró oportuno realizar un comunicado general a los usuarios de la plataforma porque únicamente se tenía constancia de dos usuarios afectados, que ya no estaban dentro del sistema educativo no universitario de Cantabria y cuyos datos tenían una antigüedad de cinco años”, añade el comunicado de la Consejería de Educación.
El Gobierno de Cantabria acaba de hacer pública una nota a través del Boletín Oficial de Cantabria (BOC), con fecha 12 de agosto, y en sus páginas webs. En dicha nota justifica su actuación de hace un año y pide que los usuarios cambien sus claves de acceso. Afirma el Ejecutivo autonómica que desconoce si la información sustraída ha alcanzado internet, pero considera, según la información policial que se le ha facilitado, que “hay comprometidos un elevado número de archivos”.
Dicha nota también está disponible en educantabria.es, portal en el que se comunica que “la Dirección General de Calidad y Equidad Educativa y Ordenación Académica del Gobierno de Cantabria informa que se ha producido un incidente de seguridad que ha afectado a los datos personales de parte de los usuarios de la plataforma educativa Yedra. Entre esos datos pueden encontrarse las fotos subidas a la plataforma, aunque no tenemos constancia de que se puedan vincular a usuarios concretos”.
Yedra es la macroplataforma de servicios avanzados de la comunidad educativa cántabra que permite realizar tareas de gestión académica y seguimiento educativo utilizando internet como canal de comunicación.
La detención de un hacker y el material incautado es el que ha permitido a los investigadores comprobar la seriedad de información personal comprometida y ha activado la alerta a los usuarios por el Ejecutivo un año después. Lo que se hizo entonces fue reforzar el personal de mantenimiento, preparar un plan de mejora de la seguridad de la plataforma y comunicar la brecha informática a la Agencia Española de Protección de Datos (AEPD). Y poco más, excepto presentar una denuncia ante la Policía Nacional.
En la nota informativa de este martes, la Consejería ha indicado que, el pasado 30 de julio, funcionarios de la Policía Nacional trasladaron formalmente que en la actualidad hay “un número elevado de registros comprometidos”, los cuales han sido encontrados “dentro de la documentación requisada a un supuesto hacker informático que está siendo investigado”.
A mediados de abril de 2024, el Centro Criptológico Nacional comunicó a la Dirección General de Informática del Gobierno de Cantabria la existencia de un ataque cibernético que podría haber puesto en peligro la seguridad de la plataforma educativa Yedra.
En ese momento, “los servicios informáticos del Gobierno de Cantabria solicitaron más información a la Policía Nacional, la cual no facilitó más datos, puesto que el eventual hackeo formaba parte de una investigación judicial bajo secreto de sumario. Dado que la Consejería de Educación y la Dirección General de Informática no disponían de más información que la señalada y no había constancia de que los datos comprometidos estuvieran circulando por Internet, se decidió comunicar la brecha informática a la Agencia Española de Protección de Datos”.
A continuación, se procedió a su denuncia ante la Policía Nacional y se trazó un plan de modernización de la plataforma educativa Yedra, así como de refuerzo del personal dedicado a su mantenimiento y desarrollo, tanto por parte de la Consejería como por parte de la empresa dedicada a su mantenimiento.
El pasado 30 de julio, funcionarios de la Policía Nacional trasladaron a la Consejería de Educación, con carácter formal, que actualmente hay un número elevado de registros comprometidos, los cuales han sido encontrados dentro de la documentación requisada a un supuesto hacker informático que está siendo investigado por la Audiencia Nacional.
Además, se han encontrado fotografías “tipo carnet” dentro de la documentación requisada, si bien no se ha confirmado que las fotos estén relacionadas con los nombres de las personas a quienes corresponden, puesto que el archivo de muestra que se ha entregado a la consejería no contiene elementos que permitan relacionar fotos y nombres, o identificaciones personales. Además, hasta el momento, “esta Consejería no tiene constancia de que los datos referidos estén circulando en Internet”, ha agregado.
Personación en la causa
Ante la nueva información aportada por la Policía Nacional, y tras su análisis por parte de la Dirección General de Informática del Gobierno de Cantabria, la Consejería de Educación ha solicitado a la Dirección General del Servicio Jurídico personarse como parte perjudicada en la causa que se sigue contra el presunto hacker informático.
Igualmente, se ha dado traslado de la situación a la delegada de Protección de Datos del Gobierno de Cantabria al objeto de estudiar el grado de afectación del derecho a la protección de datos personales, comunicando, además, la evolución del expediente abierto en su momento ante la Agencia de Protección de Datos.
Al mismo, tiempo se ha hecho una comunicación general a los usuarios de la plataforma educativa a través del cauce habitual de comunicación, aconsejando un cambio en sus claves de acceso, lo que se publicará en Boletín Oficial de Cantabria (publicación que se ha producido este 12 de agosto).
En este sentido, la Consejería de Educación, Formación Profesional y Universidades ha lamentado este tipo de ataques, “que cada vez son más frecuentes en el ámbito público y privado” y ha asegurado que “estamos completamente comprometidos con la búsqueda del máximo grado posible de seguridad digital y por ello se están implementando distintos procesos de mejora de la plataforma educativa”.
Asimismo, se ha solicitado la colaboración de los usuarios de esta o cualquier otra plataforma digital para que tomen medidas preventivas, “como no compartir contraseñas entre aplicativos o procesos distintos y cambiar de claves periódicamente”.