La Universidad de Nottingham ha confirmado haber sufrido un incidente de ciberseguridad que ha permitido a un grupo de ciberdelincuentes acceder a su sistema de registros estudiantiles. La brecha afecta tanto a estudiantes actuales como a antiguos alumnos y, según los primeros datos conocidos, podría implicar la exposición de una cantidad significativa de información personal y académica.
La institución británica, una de las universidades de investigación más destacadas del Reino Unido, cuenta con alrededor de 7.000 empleados y más de 46.000 estudiantes. En una declaración remitida a BleepingComputer, la universidad reconoció que una “cantidad significativa de datos” almacenados en su sistema de registros de estudiantes había sido accedida por un grupo ciberdelictivo conocido.
La universidad asegura que está trabajando con el proveedor externo encargado del mantenimiento de la plataforma para llevar a cabo una investigación forense. Además, ha notificado el incidente a Action Fraud y a la Information Commissioner’s Office, el organismo británico responsable de la protección de datos.
ShinyHunters reivindica el ataque
Aunque la Universidad de Nottingham no ha atribuido oficialmente el ataque, el grupo de extorsión ShinyHunters ha reivindicado la autoría de la intrusión. La banda publicó en su sitio de filtraciones en la dark web una muestra de documentos supuestamente robados como prueba del acceso.
Según las afirmaciones del grupo, habría sustraído más de 40 GB de documentos relacionados con la Universidad de Nottingham y sus campus en Malasia y China. Entre la información presuntamente robada figurarían datos financieros de estudiantes, información de facturación y pagos, detalles de tarjetas y exportaciones del portal universitario.
ShinyHunters también asegura que los documentos contienen nombres completos, direcciones particulares, direcciones IP, números de teléfono y fechas de nacimiento de los estudiantes afectados.
La magnitud del incidente ha sido reforzada por el análisis del servicio de notificación de brechas Have I Been Pwned, que señala que la filtración afectaría a 454.600 estudiantes y antiguos alumnos. Según este servicio, los datos expuestos incluirían direcciones de correo electrónico y una amplia variedad de información personal, como nombres, direcciones, teléfonos, origen étnico, discapacidades, números de pasaporte y datos relacionados con matrículas académicas y pagos de tasas.
Un ataque contra sistemas PeopleSoft
El incidente no parece aislado. Según BleepingComputer, el ataque contra Nottingham formaría parte de una campaña más amplia de robo de datos atribuida a ShinyHunters, que habría comprometido más de 100 organizaciones en todo el mundo tras acceder a instancias de Oracle PeopleSoft, tanto en la nube como en entornos locales.
PeopleSoft es una suite empresarial utilizada por grandes organizaciones para gestionar procesos críticos como recursos humanos, finanzas, nóminas, compras, administración universitaria y otros sistemas internos. En el ámbito educativo, este tipo de plataformas pueden contener información especialmente sensible sobre estudiantes, personal académico, pagos, expedientes y comunicaciones administrativas.
ShinyHunters habría afirmado que está utilizando una cadena de explotación compuesta por vulnerabilidades zero-day y fallos antiguos. El grupo también habría indicado que los ataques no funcionan contra todos los sistemas, ya que el éxito depende de la configuración concreta de cada instancia.
Este punto vuelve a poner sobre la mesa un problema recurrente en ciberseguridad: la combinación de software empresarial complejo, configuraciones heredadas y dependencias de proveedores externos puede aumentar la superficie de ataque de universidades y grandes instituciones.
Datos personales, académicos y financieros
La posible exposición de información estudiantil resulta especialmente delicada por el tipo de datos implicados. No se trata únicamente de correos electrónicos o nombres, sino de información que puede utilizarse para fraude, suplantación de identidad o ataques dirigidos.
Los datos de contacto, direcciones, fechas de nacimiento y números de pasaporte pueden facilitar campañas de phishing más convincentes. La información sobre pagos, matrículas o facturación puede emplearse para estafas financieras. Además, detalles relativos a origen étnico o discapacidades pertenecen a categorías especialmente sensibles y pueden incrementar el impacto para las personas afectadas.
En este tipo de incidentes, los riesgos suelen prolongarse en el tiempo. Aunque los sistemas se aseguren tras la intrusión, los datos robados pueden circular durante años en foros clandestinos, mercados de credenciales o repositorios utilizados por otros grupos criminales.
