Mount Royal University, en Calgary, ha confirmado que el incidente de ciberseguridad sufrido el pasado 18 de junio fue un ataque dirigido que derivó en el acceso no autorizado, robo y eliminación de datos almacenados en sistemas internos de la institución. Lo que inicialmente se presentó como una interrupción de servicios universitarios ha pasado a considerarse una brecha de datos con impacto en archivos de estudiantes y empleados.
La investigación sigue abierta y los equipos forenses trabajan para determinar el alcance completo del incidente, identificar qué información fue comprometida y recuperar los sistemas afectados. La universidad ha comenzado además a preparar la notificación a las personas afectadas y ofrecerá servicios de protección frente al robo de identidad a parte de su comunidad laboral.
Acceso no autorizado a carpetas internas
Según la información comunicada por Mount Royal University, el atacante logró acceder a carpetas específicas dentro de la unidad H, un sistema de almacenamiento utilizado por empleados y estudiantes para guardar archivos individuales.
Los investigadores han determinado que el actor no autorizado no solo accedió a esos datos, sino que también los robó y eliminó posteriormente. Esta última acción apunta a un intento de dificultar la recuperación y aumentar el impacto operativo del ataque.
La universidad ha precisado que no todo el sistema de almacenamiento H se vio afectado, sino únicamente determinadas carpetas. Aun así, los archivos comprometidos pertenecían tanto a estudiantes como a personal de la institución, por lo que el alcance real dependerá del análisis forense en curso.
Por el momento, Mount Royal University no ha revelado cuántas personas podrían haberse visto afectadas ni qué tipo concreto de información contenían los archivos sustraídos.
Empleados y estudiantes, entre los afectados
La institución ha anunciado que empezará a notificar directamente a las personas afectadas durante esta semana. Quienes puedan haber visto expuesta su información recibirán comunicación específica sobre el incidente y las medidas disponibles.
Como precaución, Mount Royal University ofrecerá dos años de monitorización de crédito y servicios de protección contra el robo de identidad a todos los empleados actuales y a cualquier persona que haya trabajado en la universidad durante los últimos cinco años.
Las instrucciones para acceder a estos servicios se enviarán tanto por correo electrónico como por correo postal.
Este tipo de protección resulta habitual cuando una organización no puede descartar la exposición de información personal sensible. Los datos robados en una brecha pueden utilizarse para abrir cuentas fraudulentas, preparar campañas de phishing personalizadas o intentar acceder a otros servicios mediante ingeniería social.
También se borraron archivos departamentales
Además del acceso a la unidad H, el atacante eliminó la unidad J, utilizada para almacenar archivos departamentales de la universidad.
En este caso, los investigadores han confirmado el borrado de la información, pero no han encontrado por ahora evidencias de que su contenido fuera accedido o copiado antes de la eliminación.
La recuperación de estos archivos sigue en marcha, aunque la universidad ha reconocido que podría no ser posible restaurar todos los datos departamentales borrados. Esto puede generar consecuencias operativas incluso cuando no exista una filtración confirmada, ya que la pérdida de información interna puede afectar a procesos administrativos, académicos o de gestión.
El caso muestra que un ciberataque no siempre busca únicamente robar datos. La destrucción de archivos también puede emplearse como mecanismo de presión, sabotaje o encubrimiento de actividad maliciosa.
Una investigación que puede durar meses
Mount Royal University ha advertido de que la investigación podría prolongarse durante semanas o incluso meses. Este plazo es habitual en incidentes complejos, especialmente cuando se han producido robo y borrado de información.
Los especialistas deben revisar registros, reconstruir la actividad del atacante, identificar las cuentas o sistemas utilizados, determinar qué archivos fueron accedidos y comprobar si hubo movimiento lateral hacia otros entornos.
También deben evaluar si el atacante dejó mecanismos de persistencia, puertas traseras o credenciales comprometidas que puedan permitir un nuevo acceso en el futuro.
La eliminación de archivos complica aún más el análisis, ya que puede borrar pistas relevantes y ralentizar la recuperación.
