ANÁLISIS
PowerSchool: una cuenta de soporte y los datos de 62 millones de estudiantes
En enero de 2025 PowerSchool avisó a los distritos escolares de un robo de datos de decenas de millones de estudiantes y docentes, iniciado desde una cuenta de soporte. El análisis: accesos privilegiados del proveedor, rescate, notificaciones, demandas y preguntas para las renovaciones.
Archivo: reconstrucción escrita en noviembre de 2026
Tema del mes de enero de 2025 · por cybercoverinsurance
En enero de 2025 PowerSchool, uno de los principales proveedores de software de gestión para las escuelas estadounidenses, avisó a sus distritos escolares clientes de un robo de datos ocurrido a finales de diciembre. El atacante afirmó haber sustraído datos de 62,4 millones de estudiantes y 9,5 millones de docentes de 6.505 distritos. PowerSchool pagó un rescate de 2,85 millones de dólares en bitcoin. En mayo de 2025 algunos distritos recibieron nuevas peticiones de extorsión con los mismos datos.
PowerSchool es el caso de manual de una violación en un proveedor que custodia datos por cuenta de miles de clientes. Los clientes no fueron atacados, pero son titulares de los datos y deben gestionar las consecuencias. Para quien asume el riesgo cyber, el caso toca tres puntos: el acceso del soporte como vía de entrada, un rescate que no pone fin a la extorsión y datos antiguos que nadie había borrado.
Lo que se sabe
El acceso. Según la investigación de CrowdStrike publicada por PowerSchool, el atacante usó credenciales comprometidas de un usuario de soporte para entrar en PowerSource, el portal de atención al cliente de todos los productos de PowerSchool. Desde allí utilizó la función de mantenimiento remoto para llegar a las instancias del sistema de información de estudiantes de los clientes. La actividad duró del 19 al 28 de diciembre de 2024. Los datos se exfiltraron solo de las tablas de estudiantes y docentes, entre el 19 y el 23 de diciembre. No se encontró malware ni accesos más allá del nivel de aplicación (CrowdStrike para PowerSchool).
Un acceso anterior. CrowdStrike encontró también actividad con las mismas credenciales entre el 16 de agosto y el 17 de septiembre de 2024. No pudo vincularla con certeza al atacante de diciembre ni confirmar si se tocaron datos de estudiantes (CrowdStrike para PowerSchool). Tras el incidente, el acceso a PowerSource exige VPN, inicio de sesión único y autenticación multifactor.
Datos y rescate. El 28 de diciembre de 2024 el atacante pidió 2,85 millones de dólares en bitcoin. PowerSchool pagó y recibió un vídeo que mostraba la supuesta eliminación de los datos. Los datos incluían nombres, direcciones, teléfonos, contraseñas, información de los padres, números de la Seguridad Social y datos médicos. Desde principios de mayo de 2025 distritos concretos recibieron peticiones de extorsión de alguien que se presentaba como ShinyHunters. El Estado de Texas, con más de 880.000 residentes afectados, demandó a PowerSchool en septiembre de 2025 por prácticas de seguridad engañosas (BleepingComputer).
El proceso. Matthew Lane, de Massachusetts, se declaró culpable en mayo de 2025. En octubre de 2025 fue condenado a cuatro años de prisión y a pagar casi 14,1 millones de dólares de indemnización. La fiscalía cifró las pérdidas de PowerSchool en más de 14 millones de dólares, con unos 3 millones de ganancias ilícitas no recuperadas (CyberScoop). Parte de los datos expuestos tenía décadas de antigüedad (K-12 Dive).
Lo que no se sabe. No se ha hecho público cómo se obtuvieron las credenciales de soporte. El informe no dice si la cuenta tenía autenticación multifactor en el momento del incidente.
El acceso del soporte es un acceso privilegiado
Una cuenta de soporte abrió miles de clientes. La función de mantenimiento remoto existe para que el proveedor pueda ayudar a los clientes. Pero bastó una sola cuenta de soporte para entrar en las instancias de miles de distritos. Es un acceso privilegiado a todos los efectos, aunque el lenguaje comercial lo llame «soporte».
El control añadido después muestra lo que faltaba antes. Tras el incidente PowerSchool introdujo VPN, inicio de sesión único y autenticación multifactor para PowerSource, además de controles de acceso por franjas horarias (K-12 Dive). Para quien asume el riesgo, la pregunta debe hacerse al proveedor antes del siniestro: quién en el soporte puede llegar a los datos de los clientes, desde dónde y con qué controles.
El acceso de agosto es una señal de alarma. Las mismas credenciales se habían usado meses antes. Si un acceso anómalo pasa inadvertido en agosto, el robo de diciembre no encuentra obstáculos. El tiempo entre la primera intrusión y el descubrimiento pesa en el coste del siniestro.
El rescate no pone fin a la extorsión
El pago compró un vídeo, no la seguridad. PowerSchool pagó 2,85 millones de dólares y recibió un vídeo de la eliminación. Cinco meses después los distritos recibieron nuevas peticiones con los mismos datos. Es la misma lección de Change Healthcare: un rescate no garantiza ni la eliminación ni el fin de las peticiones.
La extorsión se traslada a los clientes. La segunda oleada golpeó a los distritos, no al proveedor. Para las pólizas de los clientes es un siniestro nuevo, con origen en un tercero. La cobertura de extorsión de los clientes debe responder a una amenaza basada en datos robados en otro lugar, una situación que los condicionados no siempre prevén.
La indemnización fijada por el tribunal no es un recobro. Lane fue condenado a pagar 14,1 millones, pero la mayor parte de las ganancias no se encontró (CyberScoop). Para el asegurador de PowerSchool, la subrogación contra el autor tiene un valor práctico mínimo.
Quién paga las notificaciones
Los clientes son titulares de los datos. Los distritos escolares confían a PowerSchool los datos de estudiantes y docentes, pero siguen siendo los titulares. Las obligaciones frente a las familias, y a menudo frente a las autoridades, recaen en ellos. Aunque el proveedor gestione las comunicaciones, el distrito debe verificar, responder a los padres y gestionar el riesgo reputacional.
El contrato decide quién paga. Los costes de notificación, asistencia y monitorización pueden recaer en el proveedor si el contrato lo prevé. Si el contrato calla o tiene límites bajos, el coste se queda en el cliente y en su póliza. Para un ente público con recursos limitados, la diferencia es grande.
Los datos antiguos aumentan el daño sin aportar valor. Parte de los datos expuestos tenía décadas (K-12 Dive). Antiguos alumnos hoy adultos, con número de la Seguridad Social y datos médicos, son personas a notificar y posibles demandantes. Conservar datos que ya no sirven aumenta la exposición sin beneficio operativo.
Demandas y reguladores
Texas ha abierto el camino. La demanda del fiscal general de Texas impugna prácticas de seguridad engañosas, no solo la violación (BleepingComputer). Para el proveedor, la exposición no es solo frente a las personas afectadas, sino también frente a las autoridades estatales, con peticiones de sanciones civiles.
Las acciones colectivas ya han llegado. PowerSchool afronta varias demandas por negligencia y notificación tardía (K-12 Dive). Para quien asume el riesgo de un proveedor de software que custodia datos de millones de personas, la responsabilidad frente a terceros es la línea que domina el siniestro.
Qué llevar a las renovaciones
Impacto para las aseguradorasAlto
Una sola cuenta de soporte de un proveedor expuso datos de decenas de millones de personas custodiados por cuenta de miles de clientes.
En el lado de la cartera, el caso PowerSchool sugiere mapear los proveedores verticales que custodian datos de sectores enteros: sistemas de gestión escolar, software para consultas médicas, plataformas para entes locales. Un solo incidente en uno de ellos produce siniestros de notificación y de responsabilidad en cientos o miles de asegurados, a menudo pequeños entes públicos con coberturas mínimas.