Datos Rápidos

• La Universidad de Princeton sufrió una filtración de datos el 10 de noviembre tras un exitoso ataque de phishing telefónico.
• Se expusieron nombres, direcciones, correos electrónicos, números de teléfono y registros de donaciones; no se comprometieron datos financieros ni contraseñas.
• La brecha afecta potencialmente a exalumnos, estudiantes, donantes, profesores, empleados y sus familias.
• El atacante fue eliminado del sistema en menos de 24 horas; no hay evidencia de un compromiso adicional del sistema.
• Princeton está colaborando con las autoridades y expertos externos para investigar el incidente.

Una llamada de caballo de Troya en Old Nassau

En un tranquilo fin de semana de noviembre, la Universidad de Princeton - la emblemática institución de la Ivy League - se encontró en el centro de una tormenta cibernética. Un actor malicioso, armado únicamente con un teléfono y un guion bien ensayado, convenció a un empleado de Princeton de abrir las puertas a un tesoro de datos sensibles. No se trató de un hackeo sofisticado con líneas de comando parpadeantes, sino de un caso clásico de “phishing” - donde el anzuelo no fue un correo sospechoso, sino una voz persuasiva y en vivo al otro lado de la línea.

El objetivo del atacante era la base de datos de Advancement de la universidad, un repositorio repleto del tejido conectivo de la vasta comunidad de Princeton: nombres, direcciones, correos electrónicos, números de teléfono y registros de donaciones. Aunque no se incluyeron números de Seguro Social, cuentas financieras ni contraseñas, la brecha abarcó una amplia red - afectando a exalumnos (incluidos quienes nunca se graduaron), sus parejas y viudos, donantes, estudiantes actuales, padres, y al personal y profesorado que han contribuido a Princeton.

Phishing: El truco más antiguo, aún el más peligroso

El phishing - un término inspirado en la idea de “pescar” víctimas - sigue siendo una de las armas más simples y efectivas en el arsenal de un ciberdelincuente. En este caso, el atacante utilizó lo que se conoce como “vishing” (phishing por voz), engañando a un empleado con acceso ordinario para que revelara una vía de entrada. En menos de 24 horas, el equipo de TI de Princeton detectó y expulsó al intruso, pero para entonces, el daño ya estaba hecho.

Según el aviso de la universidad, no hay evidencia de que se hayan expuesto contraseñas u otra información personal más sensible. Sin embargo, la información de contacto y donaciones puede ser valiosa para estafadores, que podrían utilizarla para fraudes dirigidos o ingeniería social. La brecha recuerda incidentes recientes en otras organizaciones, como DoorDash y Checkout.com, donde los atacantes buscaron datos personales para futuros fraudes o extorsión.

Educación superior: Un objetivo en crecimiento

Las universidades están cada vez más en la mira de los ciberdelincuentes. Las extensas bases de datos del sector, los sistemas heredados y la diversidad de su población pueden volverlas vulnerables. En los últimos años, instituciones como la Universidad de California y Michigan State han enfrentado incidentes de ransomware y robo de datos, a menudo involucrando plataformas de terceros o, como en este caso, un solo punto de error humano.

Para Princeton, la respuesta inmediata fue rápida, y la universidad ahora trabaja con las autoridades y expertos en ciberseguridad para rastrear los pasos del atacante. Hasta el momento, no hay señales de que los datos hayan sido mal utilizados ni de que otros sistemas hayan sido comprometidos. Pero la brecha sirve como advertencia: incluso las instituciones más prestigiosas son tan fuertes como su eslabón más débil.

WIKICROOK

• Phishing: El phishing es un delito cibernético en el que los atacantes envían mensajes falsos para engañar a los usuarios y hacer que revelen datos sensibles o hagan clic en enlaces maliciosos.
• Vishing: El vishing es una estafa telefónica en la que los atacantes se hacen pasar por entidades de confianza para robar información sensible o dinero mediante llamadas engañosas.
• Base de Datos de Advancement: Una base de datos de Advancement es un sistema utilizado por universidades para rastrear exalumnos, donantes y recaudación de fondos, almacenando de forma segura información de contacto y donaciones.
• Ingeniería Social: La ingeniería social es el uso del engaño por parte de hackers para que las personas revelen información confidencial o permitan el acceso no autorizado a sistemas.
• Respuesta a Incidentes: La respuesta a incidentes es el proceso estructurado que usan las organizaciones para detectar, contener y recuperarse de ciberataques o brechas de seguridad, minimizando daños y tiempos de inactividad.