Filtración de datos de Mathspace (unos 1,08 millones de estudiantes, padres y personal): qué deben hacer las familias y los centros

Mathspace advierte que los nombres, correos electrónicos y datos de cuenta hacen que los intentos de suplantación sean más convincentes, y pide mantener la cautela incluso si un mensaje usa su nombre o menciona correctamente su centro o este incidente. Para comprobarlo, abra usted mismo el sitio web o la aplicación de Mathspace, o use los datos de contacto que haya encontrado por separado en un sitio web oficial (nociones básicas: ¿Qué es el phishing?).

Mathspace dice que no se deben revelar contraseñas ni códigos de verificación en respuesta a un mensaje, y pide a los estudiantes que tengan dudas que consulten con un padre, tutor o docente.

Los niños tienden a obedecer cualquier cosa presentada como "de tu profesor" o "sobre tu tarea". Si los avisos en inglés le resultan difíciles de seguir en casa, asegurarse de que su hijo entienda esta única regla ya cubre gran parte del riesgo.

Mathspace no exige restablecer la contraseña por este incidente, pero si usó la contraseña de Mathspace en otro servicio, cámbiela por una única.

La OAIC también aconseja, cuando los datos de contacto quedan expuestos, usar contraseñas seguras para el correo electrónico que no haya usado en otros lugares y activar la autenticación multifactor siempre que sea posible (Cómo elegir un gestor de contraseñas).

Mathspace pide prestar atención a los correos inesperados de restablecimiento de contraseña o a los cambios en los datos de la cuenta, y que, si detecta actividad sospechosa, cambie la contraseña y contacte con la empresa.

Mathspace indica que inicie un correo nuevo a data-breach-response@mathspace.co en lugar de responder al mensaje, o que acceda por su cuenta a su sitio web y use sus canales de soporte. Afirma que los antiguos usuarios o usuarios inactivos también pueden verse afectados, y que ellos también pueden preguntar.

La OAIC remite a Scamwatch, el sitio de información sobre estafas del Gobierno australiano, para ayudar a reconocer estafas.

La Oficina del Comisionado de Privacidad de Nueva Zelanda indica que puede contactar con el NCSC para asesoramiento sobre un problema de ciberseguridad, y menciona el servicio de apoyo IDCARE si le preocupa un uso indebido de su identidad. Para la seguridad infantil en línea, la propia Mathspace remite a las familias al eSafety Commissioner de Australia. Si se siente en peligro, contacte con la policía (111 en Nueva Zelanda).

Según Mathspace, los administradores escolares pueden escribir a data-breach-response@mathspace.co para solicitar el número de estudiantes, personal y padres o tutores afectados asociados a su centro, o los detalles de los registros afectados; la empresa organizará el envío seguro cuando se necesiten registros individuales.

Los centros también pueden solicitar un informe del incidente o un informe forense.

La empresa afirma que los datos expuestos no incluían registros que vinculen las cuentas de usuario con sus centros, pero que, en el caso de centros con dominios de correo identificables, esto podría ser posible. Espere mensajes falsos que usen el nombre de su centro, e indique a los padres con claridad por qué canales llegan las comunicaciones oficiales del centro.

Mathspace dice que notificó primero a los centros para que pudieran coordinar la comunicación con sus comunidades. Comparta con los padres los hechos (qué se incluyó y qué no) y los pasos anteriores a través de la web del centro o la aplicación habitual para padres, y pídales que verifiquen por esos canales en lugar de usar enlaces de correos de notificación.

Enumere todo lo que aloja por su cuenta, incluidos los informes, el análisis, la monitorización y los wikis internos, con un responsable y desde dónde se puede acceder (solo interno o también desde fuera). Consulte Inventario de seguridad para saber cómo elaborar la lista.

Mathspace señala que su proceso de notificación de vulnerabilidades no detectó el aviso como parte de lo que salió mal. Para cada elemento del inventario, asegúrese de que los avisos de seguridad o las notas de publicación del desarrollador lleguen al responsable. Para decidir qué parchear primero, consulte CVSS, EPSS y KEV.

Mathspace afirma que no completó las comprobaciones adicionales de compromiso recomendadas al actualizar. En una vulnerabilidad crítica, aplicar el parche no es la meta final.

Ejecute las comprobaciones que recomiende el desarrollador y revise los registros de acceso desde la fecha del aviso en adelante en busca de cuentas o sesiones de administrador desconocidas y de exportaciones masivas (proceso completo: Cómo corregir de verdad las CVE de dependencias).

Haga que la cuenta de base de datos de la herramienta de informes sea de solo lectura y limítela a vistas que expongan solo las tablas y columnas necesarias.

Mathspace indica que la información de personas que ya no usan el servicio se conservó en la base de datos de informes, por eso se vieron afectadas. Una regla para eliminar o anonimizar los datos personales que los informes ya no necesitan reduce lo que puede filtrarse.