Un estudiante explotó una vulnerabilidad en Inna, el sistema de información estudiantil utilizado por escuelas secundarias superiores de Islandia, y logró acceder y modificar registros de notas y asistencia de otros alumnos. El incidente afecta a hasta 16 instituciones educativas y la Autoridad de Protección de Datos de Islandia ya recibió tres notificaciones formales.
El caso se conoció a través de Iceland Review y fue documentado por DataBreaches.net el 4 de noviembre de 2026. Inna es la plataforma centralizada de gestión de información académica que opera en el nivel secundario superior del sistema educativo islandés. La brecha habría permitido que al menos un estudiante intentara alterar calificaciones y registros de asistencia de otros alumnos, lo que implica tanto un compromiso de integridad de datos como un posible acceso no autorizado a información personal de menores. Las escuelas afectadas y el operador del sistema continúan investigando el alcance exacto de la información a la que se accedió.
Datos confirmados: tres notificaciones, 16 escuelas, investigación abierta
- Sistema comprometido: Inna, plataforma de información estudiantil para secundaria superior de Islandia
- Alcance potencial: hasta 16 escuelas afectadas
- Notificaciones recibidas por la Autoridad de Protección de Datos de Islandia: 3
- Acción identificada: intento de alteración de notas y registros de asistencia de terceros
- Estado: investigación en curso por parte de las escuelas y el operador del sistema
Qué se sabe y qué falta confirmar sobre el acceso a datos personales
Lo confirmado hasta ahora es que hubo acceso no autorizado al sistema y que se intentó modificar registros académicos de otros estudiantes. Lo que permanece sin determinar es el volumen total de registros consultados, si se produjo exfiltración de datos personales más allá de las modificaciones intentadas, y si el actor involucrado actuó solo. Las tres notificaciones presentadas ante la autoridad islandesa sugieren que al menos ese número de instituciones tiene certeza suficiente sobre la afectación, aunque el número potencial de escuelas comprometidas asciende a 16. La investigación abierta no permite aún establecer si el incidente califica como brecha de confidencialidad o si se limita a una brecha de integridad.
El caso es relevante para la región porque sistemas de gestión académica con arquitecturas similares operan en América Latina con distintos niveles de control de acceso. En Brasil, los operadores de plataformas educativas que tratan datos de menores están sujetos a las disposiciones del artículo 14 de la LGPD, que establece requisitos reforzados de protección para datos de niños y adolescentes, incluyendo la notificación a la ANPD ante incidentes que puedan acarrear riesgo relevante. En Argentina, la Ley 25.326 y las disposiciones de la AAIP obligan a notificar brechas que involucren datos sensibles o de menores, mientras que en México la LFPDPPP impone obligaciones equivalentes al responsable del tratamiento. La centralización de datos académicos en plataformas únicas —un modelo extendido en Latinoamérica— amplifica el impacto potencial de cualquier fallo de control de acceso.
La autoridad de protección de datos de Islandia tiene abierto el expediente con tres notificaciones recibidas; el próximo hito será la conclusión de la investigación por parte del operador de Inna, cuyo resultado determinará si el caso escala a sanción formal.
