Filtración de datos de Frontline Education (proveedor de software escolar): números de la Seguridad Social, de Medicaid y de estudiante afectados, y qué deben hacer el personal y las familias

Frontline dice que está avisando a las personas por correo electrónico o por correo postal de EE. UU., desde el 26 de octubre de 2026 o en torno a esa fecha. Su aviso indica el centro de llamadas de TransUnion en el 1-800-759-7279, de 8:00 a 20:00 (hora del Este), de lunes a viernes, salvo los principales festivos de EE. UU.

BleepingComputer informa de que algunos administradores de distritos dudaron al principio de los avisos enviados a través de un proveedor externo de notificaciones, hasta que otros los confirmaron. Si no está seguro, abra usted mismo la página de avisos de Frontline y compare, en lugar de usar un enlace del mensaje.

Frontline dice que a los adultos de EE. UU. se les ofrecen dos años de monitoreo de crédito y protección contra el robo de identidad a través de TransUnion sin costo, y a los menores monitoreo cibernético a través de TransUnion. Su página del incidente lo formula como monitoreo de la web oscura para los menores que cumplan los requisitos donde esté disponible. Las instrucciones de inscripción están en su aviso.

Frontline dice que ni ella ni TransUnion le pedirán que pague por estos servicios. Trate cualquier petición de pago como una estafa.

Un congelamiento de crédito impide que los prestamistas abran crédito nuevo a su nombre. La Comisión Federal de Comercio (FTC) dice que activarlo o levantarlo es gratuito y que no afecta a su puntuación de crédito, y que se solicita en cada una de Equifax, Experian y TransUnion.

Para un menor de 16 años, la FTC dice que puede solicitar un congelamiento gratuito, con un proceso distinto en cada agencia. Un congelamiento importa especialmente aquí porque el número de la Seguridad Social figura entre los datos que la empresa dice que se vieron afectados (según la persona). Véase también qué hacer cuando se filtran datos de documentos de identidad.

La empresa dice que los identificadores de Medicaid y de estudiante estaban entre los datos afectados, según la persona. Un mensaje que los cite, o que cite el nombre de su hijo y su escuela, no ha demostrado ser auténtico. Frontline dice que nunca llamará ni escribirá para solicitar información personal o de cuentas.

No siga el enlace. Llame a su distrito o a la agencia estatal de Medicaid usando un número de su sitio web oficial. Para lo básico, véase ¿Qué es el phishing?

Frontline aconseja revisar los extractos de cuentas y los informes de crédito por si hay señales de fraude, y contactar con la policía local si sospecha un robo de identidad. IdentityTheft.gov, de la FTC, ofrece un plan de recuperación.

Como los identificadores de Medicaid estaban entre los datos afectados en algunas personas, lea también los extractos de prestaciones por si hay servicios que no recibió. El IRS ofrece un PIN de protección de identidad a quien tenga un número de la Seguridad Social y pueda verificar su identidad, lo que ayuda a impedir que alguien presente una declaración de impuestos a su nombre.

Elabore una tabla de cada servicio que guarda identificadores de estudiantes o de personal: proveedor, producto, qué datos (número de la Seguridad Social, identificador de Medicaid, identificador de estudiante, fecha de nacimiento) y por qué. Empiece por los proveedores que guardan números de la Seguridad Social o identificadores de salud, y pregunte si cada dato es realmente necesario. Un dato que no se almacena no puede quedar expuesto.

El aviso de Frontline dice que avisó primero a los distritos, y la prensa describe una opción para que los distritos eligieran, hasta una fecha fijada, que el proveedor no gestionara sus notificaciones. Decida en los contratos quién avisa a las personas, quién presenta la notificación a los reguladores y en cuántos días se le debe informar, antes de que ocurra un incidente.

Una vulnerabilidad en el software de un proveedor se describe como la vía de entrada al entorno del proveedor. Pregunte a los proveedores cómo hacen el seguimiento y la aplicación de parches del software de terceros que ejecutan, y con qué rapidez. Como marco de referencia, véase Línea base de seguridad para organizaciones.

Como los datos afectados incluyen identificadores de niños, tenga preparado un texto que diga lo que sabe el distrito, qué contactos oficiales son reales y que el distrito no pedirá números de identificación por teléfono. Un mensaje claro reduce la probabilidad de que las estafas posteriores tengan éxito.