Cada año, cientos de millones de archivos, registros personales y documentos quedan expuestos accidentalmente en línea. Los propietarios de aplicaciones de citas, colosales bases de datos de marketing e incluso una agencia de espionaje han publicado información en la web dejándola en bases de datos no seguras. Pero la regularidad con la que se producen estas filtraciones no las hace menos alarmantes, especialmente cuando los datos provienen de miles de escuelas.
Miles de documentos de planificación de emergencias de escuelas estadounidenses, incluidos sus procedimientos de seguridad para emergencias con tiradores activos, se filtraron en un tesoro de más de 4 millones de registros que se hicieron públicos sin darse cuenta. El mes pasado, el investigador de seguridad Jeremiah Fowler descubrió 800 gigabytes de archivos y registros vinculados al proveedor de software escolar Raptor Technologies. La empresa proporciona software que permite a las escuelas realizar un seguimiento de la asistencia de los estudiantes, monitorear a los visitantes y gestionar situaciones de emergencia. Raptor afirma que su software es utilizado por más de 5.300 distritos escolares de Estados Unidos y 60.000 escuelas de todo el mundo.
El caché de documentos altamente confidencial incluía planes de evacuación, con mapas que mostraban las rutas que los estudiantes debían tomar y dónde debían reunirse durante las emergencias; detalles de estudiantes que representan una amenaza en el campus; registros médicos; documentos judiciales relacionados con órdenes de restricción y abuso familiar; y los nombres y números de identificación del personal, los estudiantes y sus padres o tutores. «Este es el grupo de documentos más diverso que he encontrado», dice Fowler, quien detalló los hallazgos para la firma de seguridad vpnMentor.
Los registros expuestos aparecieron en tres depósitos web no seguros (el incidente no fue un hack) y están fechados en 2022 y 2023, dice Fowler. La mayoría de los registros parecían provenir de escuelas con sede en Estados Unidos. El investigador de seguridad informó sobre los archivos filtrados a Raptor Technologies en diciembre, y la empresa rápidamente los hizo inaccesibles.
Alrededor del 75 por ciento de los documentos expuestos parecían ser informes de amenazas, detalles de simulacros de seguridad o relacionados con procedimientos de emergencia, dice Fowler. Estos archivos documentan cómo responderían las escuelas individuales en emergencias específicas y los resultados de sus eventos de prueba. No hay evidencia que demuestre que una persona malintencionada haya accedido a los archivos; sin embargo, los detalles que incluyen podrían ser aprovechados por alguien que planee atacar una escuela.
Un “plan de respuesta a emergencias” de más de 25 páginas enumera todo, desde simulacros de evacuación en caso de incendio y planes para tormentas severas hasta procedimientos de cierre y “refugio en el lugar”. Entre más de 20 escenarios, incluye secciones sobre amenazas de bomba, situaciones de rehenes, disparos en la escuela o cerca de ella, si un estudiante tiene armas y secuestros. Los planos de algunas escuelas en los archivos incluyen flechas de cada aula que muestran las rutas de evacuación que deben tomar los estudiantes y el personal. Un mapa de una escuela muestra dónde deberían reunirse los alumnos de primaria y secundaria fuera de la escuela, así como una zona de “reunificación” para las familias. Otro muestra la ubicación de un «centro de mando». Otro documento dice que su nivel de “confidencialidad” lo designa sólo para uso del personal escolar y las autoridades públicas.
Un documento escolar titulado “simulacro de tirador activo/encierro” proporciona una lista de verificación de 11 preguntas que los miembros del personal deben completar para analizar el desempeño de la escuela en un simulacro. Esto incluye si escucharon el anuncio de un “Código Rojo de Ejercicio” y si las ventanas y puertas estaban cerradas con llave cuando revisaron. Las preguntas en el documento del simulacro también incluyen si se podía escuchar ruido o conversaciones desde las habitaciones cercanas y si alguien abrió la puerta cuando estaba cerrada.