PowerSchool afronta nuevos intentos de extorsión tras el robo de datos educativos

Qué ocurrió

En mayo de 2025 PowerSchool, proveedor de software de gestión educativa, informó de nuevos intentos de extorsión contra distritos escolares tras un robo de datos ocurrido a finales de 2024. La información afectada podía incluir datos personales de estudiantes y de personal educativo.

La compañía había pagado inicialmente por evitar la difusión de los datos robados, pero los nuevos intentos de extorsión mostraron que ese pago no garantizó que la información desapareciera ni que no se usara de nuevo contra las víctimas.

Qué significa para una empresa mediana

El caso ilustra un riesgo específico de los proveedores de software que centralizan datos de muchos clientes: una sola brecha puede afectar a decenas o cientos de organizaciones a la vez, cada una con su propia obligación de informar a los afectados.

Para una empresa que contrata este tipo de servicios, la lección es que la seguridad del proveedor forma parte de su propio riesgo, y que pagar un rescate no es garantía de que el problema termine ahí.

Qué conviene revisar

Medidas que reducen la exposición antes de que ocurra una brecha en un proveedor:

• Minimización de datos: compartir con proveedores solo la información estrictamente necesaria.
• Cifrado de datos personales sensibles, tanto en tránsito como en reposo.
• Cláusulas contractuales claras sobre seguridad, notificación de incidentes y responsabilidad del proveedor.
• Vigilancia de accesos anómalos a los datos que gestiona el proveedor en nombre de la empresa.

Preguntas frecuentes

¿Qué datos se vieron afectados?

Según PowerSchool, información personal de estudiantes y personal educativo almacenada en su plataforma de gestión escolar.

¿Pagar el rescate solucionó el problema?

No de forma definitiva. Los nuevos intentos de extorsión en mayo de 2025 muestran que el pago inicial no impidió que los datos se usaran de nuevo para presionar a las víctimas.

¿Qué puede exigir una empresa a un proveedor de software con datos sensibles?

Minimización de los datos compartidos, cifrado adecuado y compromisos contractuales claros sobre seguridad y notificación de incidentes.