¿Qué ha ocurrido?
La Universidad Ludwig Maximilian (LMU) de Múnich ha sido víctima de un ciberataque en el que se filtraron datos personales de estudiantes. Según sus propias declaraciones, se copiaron "datos maestros relativos a las matriculaciones". La universidad no informó cuántos registros concretos se vieron afectados. Actualmente, hay unas 52.000 personas matriculadas en la LMU.
Según un informe de la cadena pública Bayerischer Rundfunk (BR), el ataque fue descubierto el miércoles de esta semana. Hasta el momento no se conocen detalles sobre el vector exacto del ataque ni sobre la duración del acceso no detectado.
Los detalles
Según la LMU, al parecer se copiaron registros completos de matriculación de los sistemas universitarios. Entre ellos se incluyen:
- Nombre, fecha de nacimiento y dirección
- Datos de contacto de correo electrónico
- Datos bancarios como el IBAN y el titular de la cuenta
- Números de becas BAföG
- Datos del seguro médico
Según la universidad, los sistemas afectados fueron desconectados de la red y aislados. Además, se amplió la vigilancia de seguridad y se inició una investigación forense. Según BR, la Oficina Federal de Investigación Criminal de Baviera también está investigando el caso.
La LMU tiene previsto reanudar en breve el proceso de matriculación para el semestre de invierno, que comienza el 12 de octubre; los plazos correspondientes se ampliarán. La universidad asegura que a los estudiantes "no se les generará ningún perjuicio para sus estudios".
Según las conclusiones actuales de la LMU, no se trataría de un ataque clásico de ransomware. No hay "indicios de que el atacante haya publicado, tenga intención de publicar o utilice de forma indebida los datos obtenidos". Además, especialistas estarían vigilando los portales relevantes de la dark web.
Contexto
El incidente muestra una vez más lo atractivos que resultan los sistemas informáticos de las universidades para los atacantes: las instituciones académicas gestionan grandes cantidades de datos personales altamente sensibles, a menudo a través de infraestructuras informáticas complejas y heterogéneas, con numerosas interfaces y sistemas heredados. Los datos de matriculación son especialmente críticos, ya que, además de los datos maestros habituales, incluyen información financiera como las cuentas bancarias.
Especialmente relevante es la combinación de los datos sustraídos: con nombres, fechas de nacimiento, direcciones, cuentas bancarias y datos del seguro, los atacantes disponen de prácticamente todo lo necesario para cometer fraude de identidad o estafas dirigidas. Aunque la LMU actualmente no parte de la base de que haya habido publicación o uso indebido, persiste el riesgo de ataques de phishing dirigidos. La universidad no ha calificado literalmente el escenario del ataque como phishing, pero dado el volumen de datos sustraídos, el riesgo de ataques posteriores de este tipo resulta evidente: los delincuentes podrían, conociendo la trayectoria académica de las víctimas, ganarse su confianza de forma selectiva.
Consejos prácticos
Para los afectados y los miembros de la comunidad universitaria, del incidente se derivan varias recomendaciones de actuación:
- Mayor vigilancia ante correos electrónicos o llamadas que hagan referencia a los estudios, especialmente si se solicitan datos bancarios o credenciales de acceso.
- No facilitar datos bancarios ni contraseñas a petición, aunque el contacto parezca fiable y se mencionen correctamente datos personales.
- Revisar con especial atención los movimientos y extractos bancarios en las próximas semanas y meses.
- Seguir los comunicados oficiales de la LMU sobre el incidente, ya que podrían publicarse más informaciones sobre el alcance y el desarrollo del ataque.
- Informar a la universidad o a las autoridades investigadoras de cualquier intento de contacto sospechoso.
Perspectivas
La investigación forense de la LMU y las pesquisas de la Oficina Federal de Investigación Criminal de Baviera continúan en curso. Hasta ahora no se conoce con exactitud ni la vía de acceso utilizada por los atacantes ni la duración del acceso no detectado. Queda por ver qué detalles adicionales publicará la universidad en los próximos días, por ejemplo, sobre el número exacto de personas afectadas o el origen del ataque.
Para la matriculación del semestre de invierno, la LMU ya ha tomado medidas y ha anunciado la ampliación de los plazos, con el fin de evitar perjuicios a los estudiantes pese al aislamiento de los sistemas. Es probable que el caso reavive, además, el debate sobre la seguridad informática en las universidades alemanas, cuyos sistemas a menudo deben protegerse con recursos limitados frente a ataques cada vez más profesionalizados.
