Una universidad de Osaka confirma la filtración de datos de unas 170.000 personas tras un ciberataque

La Universidad Metropolitana de Osaka confirmó el 13 de noviembre que un ciberataque iniciado a través de un subcontratista terminó con la filtración de datos personales de aproximadamente 170.000 estudiantes y trabajadores. Los archivos estaban guardados en un servicio en la nube administrado por NEC, proveedor responsable del mantenimiento de la infraestructura informática de la universidad. La institución distinguió esa filtración comprobada de otra posibilidad todavía bajo investigación: no ha confirmado que se hayan extraído datos directamente de sus sistemas internos.

La información filtrada incluye identificadores, nombres, direcciones de correo electrónico y fechas de nacimiento. Según el sexto informe público de la universidad, los archivos de unas 1.400 personas contenían además datos más sensibles, entre ellos números de cuentas bancarias, información de salud, imágenes de pasaportes y números de esos documentos. Esas 1.400 personas forman parte del total aproximado de 170.000; no son un grupo adicional.

La investigación reconstruyó una cadena de acceso. Primero fue comprometido un equipo de una empresa a la que NEC había subcontratado tareas. Los investigadores hallaron indicios de extracción de información de ese equipo y del almacenamiento de NEC. Poco después, alguien utilizó cuentas y contraseñas legítimas relacionadas con el contrato, incluidas credenciales administrativas, para entrar sin autorización en los sistemas universitarios. Una empresa especializada encontró varios indicios que apuntan al mismo atacante en ambos accesos, explicó la universidad. Esa conclusión se atribuye a la investigación institucional; todavía no se ha anunciado públicamente la identidad de los responsables.

El ataque causó una avería de gran escala en los servicios informáticos de la universidad el 2 de octubre. Parte de sus sistemas fue cifrada, de acuerdo con el comunicado. La universidad afirma que, hasta ahora, no hay una prueba clara de que se hayan sustraído datos personales de esos sistemas propios, aunque tampoco puede descartar esa posibilidad. Conviene mantener separadas ambas conclusiones: la filtración desde el almacenamiento de NEC está confirmada; una filtración adicional desde los servidores universitarios, no.

La universidad cuestionó que NEC mantuviera durante años, en un espacio accesible a numerosos participantes del contrato, archivos utilizados durante una migración de sistemas de 2021 que ya había terminado. Según el informe, buena parte de los datos más delicados procedía de esa migración. La permanencia de copias antiguas convirtió un trabajo concluido en una exposición vigente de información personal.

NEC continúa identificando a las personas afectadas y el tipo de datos correspondiente a cada una. La universidad prometió avisarles individualmente y habilitó un canal de consulta para graduados y familiares. También pidió a sus integrantes estar atentos a llamadas sospechosas y correos que suplanten identidades. Para quienes creen que podrían estar afectados, el aviso individual y los comunicados oficiales de la universidad son la referencia: por ahora, el número global no indica qué información concreta corresponde a cada persona.