Un atacante no identificado ha obtenido acceso no autorizado a datos sensibles pertenecientes a estudiantes de la Ludwig-Maximilians-Universität (LMU) en Munich. Como anunció la universidad durante el fin de semana, se comprometió un sistema informático responsable de gestionar los datos maestros de inscripción.
Según las conclusiones actuales, el autor logró exfiltrar extensos conjuntos de datos. Estos incluyen nombres completos, direcciones postales y de correo electrónico, lugares de nacimiento y datos bancarios almacenados. In addition, the attacker accessed further private records, including information on previous educational qualifications. No está claro exactamente cuántos individuos se ven afectados y si la brecha implica sólo estudiantes actuales o también antiguos. En el último semestre de invierno de 2025/26, LMU inscribió a más de 52.000 estudiantes, convirtiéndose en una de las universidades más grandes de Alemania.
Crítica sobre la notificación tardía
Según la universidad, el incidente de seguridad fue descubierto el miércoles anterior. Sin embargo, la declaración oficial en el sitio web de la universidad no se publicó hasta el sábado siguiente. Este retraso causó críticas políticas inmediatas. Florian von Brunn, experto en asuntos digitales para el grupo parlamentario estatal del SPD, señaló los requisitos del Reglamento General de Protección de Datos (GDPR), que manda notificar a las personas afectadas sin demora indebida. Exigió una investigación completa cuando comenzó el acceso no autorizado, cuánto tiempo persistió, y qué vulnerabilidades fueron explotadas.
El incidente recuerda ataques similares en el sector público. Por ejemplo, el reciente ciberataque en la red estatal de Berlín ilustró la amplitud de las consecuencias de los datos administrativos comprometidos.
LKA Research and Status of the Data
La Oficina de Policía Criminal del Estado de Baviera (LKA) ha sido llevada a cabo para investigar el caso. Junto con expertos forenses externos de TI, LMU está trabajando para evitar nuevos ataques y cerrar el vacío de seguridad. Los especialistas también están monitoreando la red oscura, un segmento de Internet inaccesible a través de navegadores web convencionales y frecuentemente utilizados por los delincuentes para intercambiar conjuntos de datos robados. Hasta ahora, los registros robados no han aparecido allí.
La universidad destacó que los estudiantes no sufrirán desventajas académicas respecto a sus estudios debido al incidente. Sin embargo, debido a que los delincuentes pueden explotar tales registros personales y detalles bancarios para compras fraudulentas en línea o robo de identidad, los afectados deben ejercer mayor cautela en las próximas semanas.
Lo que los estudiantes deben hacer ahora
- Supervisar la actividad bancaria: Los estudiantes de LMU deben revisar sus cuentas bancarias en un futuro próximo por débitos directos no autorizados o transacciones sospechosas, e informar de cualquier anomalía inmediatamente a su banco para disputar los cargos.
- Cuidado con mensajes sospechosos: Se aconseja vigilancia vigilada respecto a correos electrónicos inesperados, mensajes SMS o llamadas telefónicas. Los atacantes a menudo aprovechan los detalles personales robados para los intentos de phishing dirigidos, disfrazados como agencias gubernamentales, bancos o departamentos universitarios.
- Nunca revelar datos sensibles: Las solicitudes para confirmar contraseñas, TANs o detalles de pago nunca deben ser contestadas a través de enlaces proporcionados en mensajes.
Fuentes: FAZ.de
