La Universidad de Vanderbilt confirma un ciberataque después de que la banda BYOD reclame el robo de un millón de números de Seguro Social

La Universidad de Vanderbilt confirmó el 9 de noviembre de 2026 que está respondiendo a un incidente de ciberseguridad activo que afecta a dispositivos del campus, sistemas y servicios en la nube, horas después de que la banda de ransomware BYOD publicara un comunicado en el que afirmaba haber robado más de un millón de números de Seguro Social, junto con nombres, correos electrónicos, números de teléfono y registros de estudiantes, empleados e investigadores de la institución con sede en Nashville.

Esta divulgación suma a Vanderbilt a una lista cada vez más larga de universidades golpeadas por grupos de ransomware que persiguen los grandes volúmenes de datos personales y financieros que las instituciones educativas acumulan a través de sus sistemas de ayuda financiera, nóminas, admisiones y becas de investigación. Las redes universitarias son, además, notoriamente difíciles de proteger: miles de dispositivos personales, departamentos de TI descentralizados distribuidos entre unidades académicas y presupuestos limitados para herramientas de seguridad empresarial hacen que los campus sean un blanco más fácil que una empresa convencional.

Según BleepingComputer, que revisó una fotografía de una nota de rescate dejada en una pantalla conectada a la red de Vanderbilt y un video de equipos infectados reproduciendo un mensaje de audio que nombraba a los atacantes, la nota — titulada README_BYOD_31.txt — afirma que el grupo posee «todos sus datos, incluyendo sus copias de seguridad», además de números de Seguro Social archivados, fechas de nacimiento, domicilios y cargos laborales de estudiantes, profesores y personal. BleepingComputer verificó de forma independiente que el enlace embebido en la nota conduce al sitio de filtraciones de BYOD en la dark web.

Vanderbilt ha indicado a estudiantes, profesores y personal que apaguen los dispositivos propiedad de la universidad, se desconecten del Wi-Fi del campus y estén atentos a cualquier actividad sospechosa, advirtiendo que quien detecte señales de compromiso no debe intentar solucionar el problema por su cuenta, sino apagar el equipo y contactar con el servicio de asistencia técnica de TI de la universidad. La institución no ha confirmado que se haya robado ningún dato, que los sistemas hayan sido cifrados ni que BYOD sea el grupo responsable; ha descrito la situación únicamente como un «incidente de ciberseguridad activo» en investigación.

BYOD es una operación de extorsión relativamente reciente que apareció por primera vez en 2026 y ha construido su corto historial casi exclusivamente en torno a los sectores de la educación superior y la salud. Ya ha reivindicado la responsabilidad de un ataque en octubre contra el Centro de Ciencias de la Salud de la Universidad de Nuevo México, que, según los informes, interrumpió las operaciones del hospital, y enumera varias otras organizaciones en su sitio de filtraciones junto a Vanderbilt.

Si las afirmaciones del grupo resultan ser verídicas, Vanderbilt se convertiría en uno de los mayores brechas universitarias del año en términos de volumen de números de Seguro Social expuestos, situándose junto a recientes megaincidentes en otras universidades estadounidenses y departamentos estatales de educación. Para las decenas de miles de estudiantes actuales, exalumnos, profesores y empleados cuyos registros Vanderbilt conserva, una filtración con tantos números de Seguro Social eleva el riesgo de fraude fiscal y robo de identidad mucho tiempo después de que se resuelva cualquier disputa por el rescate — un riesgo que normalmente persiste independientemente de si la institución paga o no. Los bufetes de abogados especializados en demandas colectivas suelen actuar con rapidez tras este tipo de divulgaciones, y Vanderbilt probablemente enfrentará presión para ofrecer servicios de monitoreo crediticio una vez que confirme el alcance de lo robado.

Según informó BleepingComputer, Vanderbilt aún no ha indicado cuándo se restablecerá el acceso normal a los sistemas universitarios ni si tiene previsto notificar directamente a las personas afectadas.