El Departamento de Educación de Florida confirmó una brecha de seguridad en su portal de ayuda financiera estudiantil que podría haber expuesto datos personales —incluidos números de Seguro Social— de aproximadamente 4,9 millones de personas. El acceso no autorizado fue detectado el 19 de octubre de 2026.
Según se informó, el personal del departamento tomó conocimiento del acceso criminal no autorizado al sitio Florida Student Financial Aid el 19 de octubre. A partir de ese momento, la agencia activó sus protocolos de respuesta en ciberseguridad. La escala del incidente lo convierte en una de las brechas más significativas registradas en el sector educativo público de Estados Unidos en lo que va del año.
Datos confirmados al 29 de octubre de 2026
- Organismo afectado: Departamento de Educación del estado de Florida (EE. UU.)
- Sistema comprometido: portal web de ayuda financiera estudiantil (Florida Student Financial Aid)
- Personas potencialmente afectadas: aproximadamente 4,9 millones
- Tipo de datos expuestos: información personal, incluidos números de Seguro Social, según se informó
- Fecha de detección del acceso no autorizado: 19 de octubre de 2026
- Estado del protocolo: respuesta de ciberseguridad activada
Qué se sabe y qué falta confirmar
Lo confirmado hasta ahora es que hubo acceso criminal no autorizado al sistema y que la agencia inició su respuesta. No se ha precisado públicamente el vector de ataque utilizado, si los datos fueron efectivamente exfiltrados o si permanecieron expuestos sin descarga masiva. Tampoco se informó si existe un actor identificado detrás del incidente ni si se emitieron o se emitirán notificaciones individuales a los afectados. En el contexto de la regulación estadounidense, la Ley de Notificación de Brechas de Florida (Fla. Stat. § 501.171) establece plazos específicos para notificar tanto a la Oficina del Fiscal General como a los individuos afectados cuando se comprometen datos sensibles como números de Seguro Social.
Para organizaciones de la región que gestionan sistemas de ayuda financiera o registros educativos, el caso es un punto de referencia directo. En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) exige notificación a la Autoridade Nacional de Proteção de Dados (ANPD) en un plazo razonable ante incidentes que puedan acarrear riesgo relevante a los titulares. En Argentina, la Ley 25.326 de Protección de Datos Personales y las disposiciones de la Agencia de Acceso a la Información Pública (AAIP) imponen obligaciones similares de reporte, que el proyecto de reforma actualmente en discusión busca precisar con plazos concretos. En México, el INAI ha reforzado en los últimos años los criterios de notificación bajo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Un registro de 4,9 millones de personas —mayoritariamente estudiantes— activaría, en cualquiera de estos marcos, la obligación de notificación calificada por el tipo de dato comprometido.
El próximo hito crítico es la emisión de las notificaciones individuales a los afectados y la comunicación formal del departamento a las autoridades competentes, cuyo plazo bajo la ley estatal de Florida no se ha confirmado públicamente hasta el momento.
