La FTC ordena 10 años de auditorías de seguridad tras la filtración de datos de 10,1 millones de estudiantes por Illuminate Education

Illuminate Education, Inc., empresa registrada en California cuyo software escolar basado en la nube se utiliza para gestionar información de más de 17 millones de estudiantes en más de 5.200 distritos escolares de EE. UU., sufrió una filtración de datos entre finales de diciembre de 2021 y enero de 2022.
Según la denuncia de la Comisión Federal de Comercio (FTC) de EE. UU., un actor malicioso utilizó las credenciales de un antiguo empleado para acceder al entorno de alojamiento en la nube de Illuminate y extrajo datos — incluidas direcciones de correo electrónico y postales, fechas de nacimiento, registros académicos e información relacionada con la salud — sin ser detectado durante unos 13 días. La filtración afectó a más de 10,1 millones de estudiantes actuales y antiguos.
La FTC alegó que Illuminate había ignorado advertencias previas sobre vulnerabilidades de seguridad, no había implementado salvaguardas razonables como cifrado, controles de acceso y monitorización, había tergiversado sus prácticas de protección de datos en declaraciones públicas y en contratos con distritos escolares, y no había proporcionado notificaciones de la filtración a tiempo.
La resolución final de la Comisión, emitida el 5 de junio de 2026 tras un período de consulta pública, exige que Illuminate publique un calendario de retención de datos en un plazo de 90 días, adopte prácticas de minimización de datos y se someta a evaluaciones de seguridad independientes por terceros, inicialmente y luego cada dos años, durante diez años, una de las resoluciones de seguridad de datos más largas dictadas por la FTC en el sector educativo.
Este caso se incluye como ejemplo de alerta sobre fallos de gobernanza: muestra las consecuencias de una protección de datos inadecuada en software educativo ampliamente utilizado, y el tipo de remedio regulatorio de largo plazo que ahora se aplica en este sector.