Una app de deberes de matemáticas acaba de perder los datos de un millón de alumnos, padres y profesores
Mathspace es de ese tipo de software que un niño usa sin que nadie se lo plantee. Los colegios de toda Australia y Nueva Zelanda lo reparten para los deberes de matemáticas, la contraseña acaba guardada en el navegador del PC familiar, y esa es la última decisión consciente que alguien toma al respecto. El 7 de septiembre la empresa publicó el tamaño de la brecha: 1.079.819 alumnos, personal escolar y padres.
La cronología merece leerse despacio. Metabase, una herramienta de informes que Mathspace alojaba en sus propios servidores, publicó un parche de seguridad crítico el 6 de agosto. Un atacante aprovechó el fallo sin corregir para conseguir acceso de administrador el 10 de agosto, descargó la base de datos el 27 de agosto, y Mathspace instaló la actualización el 29 de agosto, dos días después de que los datos ya hubieran salido. La intrusión no se confirmó hasta el 3 de septiembre. La empresa lo atribuye a un descuido interno en la gestión de los avisos de vulnerabilidades, que es una forma pulida de decir que había una cola que nadie leyó.
Lo que se llevaron son nombres, nombres de usuario, direcciones de correo, tipo de usuario, país, zona horaria y fechas de conexión. Las contraseñas, los tokens de inicio de sesión único y los resultados académicos no quedaron expuestos, y Mathspace dice no haber visto señales de que los datos se estén vendiendo o publicando. Aun así, una lista de nombres de niños emparejados con direcciones de correo del colegio es un kit de phishing listo para usar. El único síntoma que hay que tomarse en serio es un correo de restablecimiento de contraseña que nadie pidió. Si llega, no pulse nada dentro: entre usted mismo en la web y revise la cuenta. Y si esa misma contraseña protege también el correo de su hijo, y no solo la app de deberes, cámbiela hoy.
Los PC familiares acumulan inicios de sesión que nadie recuerda haber hecho. La comprobación de Privacidad y cuentas de Tendvane enumera qué hay conectado en el equipo, y es una forma rápida de averiguar qué cuentas existen de verdad antes de ir a buscar las que importan.