En vez de asumir las consecuencias para hacer control de daños, la Junta de Castilla y León ha preferido permanecer 22 días en la sombra. Desde el 31 de mayo, hasta hoy, un millón de vidas han quedado expuestas por una serie de negligencias que, la Consejería de Educación, negó tajantemente y decidió ocultar en varias ocasiones. ¿El coste de esta opacidad institucional? El mayor robo de datos educativos registrado en España.
Así fue la nefasta gestión de uno de los últimos ataques informáticos llevados a cabo contra una organización estatal que, además, ha afectado a menores.
Cronología del ataque informático a la Junta de Castilla y León
El pasado 31 de mayo de 2025, la Junta de Castilla y León detectó actividad sospechosa dentro de sus servidores. Como caía en fin de semana, no fue hasta el día 2 de junio, lunes, cuando finalmente se confirmó el ciberataque. En él, un grupo de hackers accedió de forma ilegal a la base de datos de «Ausencias de Alumnado», la cual tiene más de un millón de registros de estudiantes, padres y profesores. Entre la información robada podemos destacar:
- Nombre y apellidos completos.
- DNI/NIE.
- Dirección completa.
- Correo electrónico.
- Teléfono (fijo o móvil).
- Nacionalidad.
- Fecha de nacimiento.
El 3 de junio se realizó la notificación a la AEPD y la correspondiente denuncia ante la Guardia Civil. Sin embargo, la Junta de Castilla y León guardó silencio administrativo y no informó a las personas afectadas. Esto rompe por completo con la obligación del art. 34 de la RGPD, el cual obliga a informar «sin dilación indebida» cuando existe alto riesgo para las personas.
Pero no solo se guardó silencio administrativo, sino que, hasta el 24 de junio, la consejera de la Junta, Rocío Lucas, aseguró ante la prensa que «no hay ni rastro de ningún hackeo«, asegurando que todo funciona con «plena normalidad», que no eran más de «intentos como los que sufre la NASA», y acusando a la oposición de crear una «alarma innecesaria».
Finalmente, el 25 de junio, a las 15.07 de la tarde, la Junta cuelga una «nota informativa» en la web de EducaCYL. No se ha convocado una rueda de prensa. No se ha facilitado una lista de los centros afectados. Nada. Solo recomiendan ir al INCIBE y a las fuerzas de seguridad.
Qué debería hacer la Junta
Lo primero, la Junta de Castilla y León, o en concreto la empresa encargada de la ciberseguridad, debería recibir una sanción importante por parte del AEPD por no actuar acorde a la ley, igual que recibiría cualquier otra empresa privada. La sanción podría ser, con la ley en la mano, de hasta el 4 % del PIB de la Junta si la AEPD concluye negligencia grave. Pero esto no queda aquí.
Al ser un organismo público, debería haber una comparecencia urgente, por parte de la consejera, para dar explicaciones sobre la ocultación de este grave incidente. Y, por supuesto, identificar a la empresa desarrolladora del sistema y el presupuesto que se dedica a esta ciber(in)seguridad.
Por último, la Junta debería ofrecer un servicio gratuito de monitorización de identidad y formación anti-fraude a través del INCIBE para todas las personas afectadas por el robo de datos.