Dirigido a: estudiantes actuales y antiguos de la LMU de Múnich (Ludwig-Maximilians-Universität München), incluidos antiguos estudiantes de intercambio y solicitantes, y cualquiera que conserve durante años datos de estudiantes o socios. Este artículo se basa en los comunicados oficiales de la LMU y no trata técnicas de ataque ni de estafa.
Qué deben hacer hoy estudiantes y antiguos alumnos
Compruebe si puede verse afectado: cuentan antiguos alumnos, estudiantes de intercambio y solicitantes
La LMU afirma que todo el conjunto de datos de su sistema de admisión está afectado, que abarca unos 50 años. Incluye a estudiantes actuales, graduados, personas que abandonaron sin titularse y personas que solo solicitaron plaza.
Si estudió en la LMU como estudiante internacional o de intercambio, incluido desde Japón, puede verse afectado si estaba registrado en ese sistema. A fecha 3 de octubre de 2026, la LMU no había iniciado notificaciones individuales, por lo que no necesita esperar una carta antes de dar los pasos siguientes.
Si facilitó a la LMU una cuenta bancaria en 2005 o después, revise sus extractos
La LMU afirma que los datos bancarios (IBAN y nombre del titular) constan en registros desde 2005. Si facilitó a la LMU una cuenta alemana o de la UE para tasas o reembolsos, revise esa cuenta en busca de domiciliaciones que no reconozca.
Si la cuenta pertenecía a un padre, madre o a otra persona, infórmeles también. Si cerró la cuenta al salir de Alemania, no se puede cargar ningún adeudo en ella; si no está seguro de si la cerró, pregunte al banco.
Pida a su banco que anule cualquier domiciliación que no reconozca
Un adeudo SEPA (el sistema europeo de domiciliación bancaria) puede reembolsarse a petición en un plazo de 8 semanas desde la fecha del cargo, sin necesidad de justificarlo. Un cargo que nunca autorizó puede anularse hasta 13 meses después.
Si encuentra uno, inicie el proceso en la aplicación de su propio banco o en una oficina. Si recibe un contrato o una reclamación de pago que no reconoce, póngase también en contacto con esa empresa.
No abra enlaces en correos que digan proceder de la LMU, de una aseguradora de salud o de la oficina de BAföG
Los datos que podrían haberse filtrado incluyen su nombre, dirección y correo electrónico, además de datos de matrícula, número de seguro de salud y número de BAföG (ayuda estatal alemana para estudiantes). Con ellos, un estafador puede redactar un mensaje muy convincente.
La LMU también aconseja no abrir archivos adjuntos ni enlaces sin comprobarlos con cuidado, incluso en correos que parezcan personalizados, y no revelar datos bancarios ni contraseñas. Si recibe un mensaje sobre un "reembolso" o una "reinscripción obligatoria", abra usted mismo el sitio web oficial de la LMU para comprobarlo (véase ¿Qué es el phishing?).
No le piden que cambie su contraseña de la LMU
La LMU afirma que las contraseñas no se vieron afectadas y que las cuentas universitarias son seguras. Pero si usa la misma contraseña en otros servicios, este es un buen momento para dejar de reutilizarla (cómo elegir un gestor de contraseñas).
Qué ocurrió (según los comunicados de la LMU)
La LMU publicó su primer comunicado el 19 de septiembre de 2026, y una actualización y unas preguntas frecuentes revisadas el 28 de septiembre. Todo lo siguiente procede de los comunicados oficiales de la LMU.
16 de septiembre de 2026
La LMU identifica el incidente. Un actor no autorizado había accedido a un sistema informático que almacena datos básicos de matrícula de estudiantes.19 de septiembre
Primer comunicado. La LMU afirma que debe asumir que los datos fueron extraídos y que la Oficina Criminal Estatal de Baviera (LKA) y las autoridades investigadoras están implicadas.22 de septiembre
Se reabre la matrícula.28 de septiembre
Actualización. El alcance es de unos 600.000 registros que abarcan unos 50 años. No hay señales hasta ahora de publicación ni de uso indebido; la LMU sigue vigilando de cerca la dark web (sitios usados para comercio ilegal que los buscadores habituales no muestran).30 de septiembre
El sistema de gestión de cursos (LSF) empieza a reabrirse por fases.
- Alcance
- El conjunto completo de datos del sistema de admisión: estudiantes actuales y antiguos de un periodo de unos 50 años, unos 600.000 registros. Pueden incluirse solicitantes y otras personas cuyos datos se trataron en el sistema
- Datos identificativos
- Nombre, fecha de nacimiento, sexo, en algunos casos lugar o país de nacimiento
- Datos de contacto
- Dirección, número de teléfono, dirección de correo electrónico
- Datos bancarios
- IBAN y nombre del titular de la cuenta (registros desde 2005; no se recogieron antes de 2005)
- Números
- Número de seguro de salud, número de BAföG (ayuda estatal para estudiantes), cuando proceda
- Historial académico
- Titulaciones previas, estudios cursados, motivos de baja temporal. Los motivos de baja pueden incluir categorías especiales de datos personales con arreglo al artículo 9 del Reglamento General de Protección de Datos de la UE (RGPD), como información de salud
- Diferencias por año
- Los registros hasta 1994 inclusive contienen solo datos básicos e historial de semestres. Los registros desde 2005 contienen más
- No afectados
- Contraseñas, información de exámenes, calificaciones, contenido de los cursos y rendimiento individual
- Causa
- No revelada. La LMU desconectó el sistema afectado, aseguró los datos y está investigando con expertos externos
- Autoridades
- La Oficina Criminal Estatal de Baviera (LKA) está investigando. Se ha informado a las autoridades de supervisión y de persecución penal pertinentes
- Contacto
- cybersicherheit@lmu.de
Cómo interpretarlo: "no hay señales de publicación" no significa que esté a salvo
La LMU afirma que hasta ahora no ha visto indicios de que los datos hayan sido publicados o utilizados indebidamente. Eso significa que todavía no se ha encontrado nada, no que los datos nunca vayan a usarse.
Su IBAN, nombre y dirección se mantienen durante años salvo que los cambie. No revise sus extractos una sola vez; siga revisándolos durante varios meses.
Registros hasta 1994
Solo datos básicos e historial de semestres
Registros de 1995 a 2004
Sin datos bancarios (la LMU no los recogió antes de 2005)
Registros desde 2005
Más campos, incluidos IBAN y titular de la cuenta
↓ Qué hacer
Sea cual sea la antigüedad de su registro
No abra enlaces en correos que digan proceder de la LMU, de una aseguradora de salud o de una oficina de ayudas al estudio. Un nombre o un número en el mensaje no demuestra que sea auténtico
Si facilitó a la LMU una cuenta bancaria en 2005 o después
Siga revisando sus extractos durante varios meses. Los cargos no reconocidos pueden reembolsarse en 8 semanas sin justificación; los que nunca autorizó, en 13 meses
Para qué puede usarse un IBAN filtrado
| Datos filtrados | Posible uso indebido | Qué hacer |
|---|---|---|
| IBAN + nombre + dirección | Domiciliaciones a su nombre (por ejemplo, compras en línea) | Revise sus extractos; pida a su banco que anule los cargos no reconocidos |
| Nombre + correo + datos de matrícula | Correos convincentes que dicen proceder de la LMU | No abra enlaces; abra usted mismo el sitio web oficial |
| Número de seguro de salud o de BAföG | Mensajes que dicen proceder de una aseguradora o de la oficina de ayudas al estudio | No considere que un número correcto demuestre que un mensaje es auténtico |
Un IBAN por sí solo no permite a nadie iniciar sesión en su banca en línea ni sacar dinero de su cuenta. En el caso de Odido en los Países Bajos, la Asociación Bancaria neerlandesa también afirmó que la mayoría de las personas no necesita cambiar su cuenta (véase la filtración de datos de Odido).
Una domiciliación SEPA, sin embargo, la inicia la empresa que cobra el dinero sobre la base de un mandato (autorización) del titular de la cuenta, y el banco no comprueba ese mandato cada vez. Por eso, detectar y anular las domiciliaciones no reconocidas es lo más eficaz que puede hacer el titular de la cuenta.
Opinión de este sitio: los antiguos estudiantes de intercambio que han regresado a su país son los menos propensos a darse cuenta
Los antiguos estudiantes internacionales que han vuelto a su país a veces mantienen abierta su cuenta alemana y rara vez revisan sus extractos. Si la dirección registrada es una dirección antigua en Alemania, las cartas del banco o de una empresa de cobro tampoco les llegarán.
Si no está seguro de si cerró una cuenta, pregunte al banco y considere cerrarla si ya no la usa. El plazo de 13 meses para anular cargos no autorizados significa que no leer los extractos es el verdadero riesgo.
Para organizaciones que conservan datos de estudiantes o socios durante años
Los datos afectados abarcan unos 50 años de registros de estudiantes y antiguos alumnos. Las universidades sí necesitan conservar algunos registros durante mucho tiempo, como la prueba de matrícula y los títulos. Sin embargo, los datos bancarios y los números de seguro de salud se recogen para los trámites de matrícula. La LMU no ha dicho por qué los conservó.
Con esto en mente, hay tres medidas generales que cualquier organización que guarde datos de estudiantes o socios puede revisar.
Separe los registros que debe conservar a largo plazo de los datos necesarios solo para un trámite
La prueba de un título necesita nombre, fecha de nacimiento, periodo de matrícula y titulación. Los datos bancarios y los números de seguro a menudo no son necesarios una vez completados los trámites de matrícula. Para cada campo, compruebe si una ley o reglamento obliga a conservarlo, o si simplemente no existe un proceso para eliminarlo.
Fije una fecha de eliminación para los datos bancarios de graduados y antiguos socios
El artículo 5, apartado 1, letra e), del RGPD exige que los datos personales se conserven de forma que permita identificar a las personas durante no más tiempo del necesario para su finalidad (limitación del plazo de conservación).
Los datos bancarios de graduados o antiguos socios no se usan en el trabajo diario, pero quedan expuestos en caso de filtración. Establezca un periodo de conservación y elimine los datos automáticamente cuando termine. La eliminación manual no se mantiene en el tiempo.
Traslade los registros antiguos fuera del sistema que se usa para los trámites diarios
Si un sistema que muchas personas usan cada año, como el de admisiones, también guarda décadas de registros antiguos, una filtración de ese sistema expone todos ellos. Traslade los registros de antiguos alumnos a un almacenamiento separado con derechos de acceso independientes, de modo que el sistema cotidiano no pueda leerlos directamente. Véase la base de seguridad para organizaciones.
Otros casos del sector educativo: la filtración de Canvas (Instructure), una plataforma de gestión del aprendizaje, y la filtración de Mathspace, una plataforma de aprendizaje.
Fuentes (registro público)
Los hechos de este artículo se basan en la siguiente información pública. No especulamos sobre el método ni la causa no revelados de la intrusión.
- LMU, "Información sobre un incidente de protección de datos" (19 de septiembre de 2026) — lmu.de
- LMU, "Actualización sobre el incidente de protección de datos" (28 de septiembre de 2026) — lmu.de
- LMU, "Questions about the data security incident" (preguntas frecuentes, actualizadas el 28 de septiembre de 2026) — lmu.de (inglés) / lmu.de (alemán)
- Comisión Europea, Your Europe, "Payments, transfers and cheques" (reembolso de domiciliaciones en 8 semanas) — europa.eu
- Stiftung Warentest, "Lastschrift zurückholen" (8 semanas con mandato, 13 meses sin él) — test.de
- Directiva (UE) 2015/2366 (PSD2), artículos 71 y 77 — EUR-Lex
- Reglamento (UE) 2016/679 (RGPD), artículos 5 y 9 — EUR-Lex
Historial de actualizaciones
2026-10-03: Primera versión, basada en el primer comunicado de la LMU del 19 de septiembre y en su actualización y preguntas frecuentes del 28 de septiembre. La investigación de la LMU sigue en curso; actualizaremos este artículo cuando notifique a las personas afectadas o revele la causa.
Lectura recomendada
- Casos del sector educativo en EE. UU.: Departamento de Educación de Florida (unos 4,9 millones, SSN) / Frontline Education (software escolar, SSN y números de Medicaid)
- Protegerse de estafas derivadas: ¿Qué es el phishing? / Falsas alertas de virus (estafas de soporte técnico)
- Otro caso con IBAN filtrados: Odido (Países Bajos, IBAN y números de identificación)
- Casos del sector educativo: Canvas (Instructure) / Mathspace (Australia y Nueva Zelanda)
- Otros casos de 2026: Filtraciones de datos y ciberataques en 2026
- Para operadores: La base de seguridad para organizaciones