Dos padres presentaron una demanda colectiva el martes contra el Distrito Escolar del Condado Clark (CCSD) alegando que no protegió la información personal sensible y no tomó medidas para prevenir un ataque de ciberseguridad que ocurrió el mes pasado.
Erin Timrawi y un padre referido como “Jane Doe” presentaron la demanda en el Tribunal de Distrito.
La queja dice que los padres presentaron la demanda “para asegurar que el CCSD tome las medidas necesarias para rectificar sus fallas y asegurar la información de sus estudiantes, padres y maestros en el futuro.”
El distrito escolar dijo el jueves que no hace comentarios sobre litigios pendientes.
Stephen Hackett, abogado de los padres, dijo el jueves que cree que la denuncia habla por sí misma.
El distrito no ha sido comunicativo con los estudiantes y las familias hasta el punto de que “han restado importancia a la gravedad de la violación de datos”, dijo.
El mes pasado, el quinto distrito escolar más grande del país -que cuenta con unos 300 mil alumnos- anunció que se había visto afectado por un “incidente de ciberseguridad que afectó a su entorno de correo electrónico”, ocurrido el 5 de octubre.
En respuesta, el distrito restringió el acceso a Google Workspace para estudiantes y empleados dentro de los edificios escolares y administrativos durante más de una semana. Además, el mes pasado envió un correo electrónico a los empleados con medidas de seguridad adicionales.
Algunos padres dicen que han recibido un correo electrónico sospechoso alegando que se ha filtrado información y que incluía archivos adjuntos con información personal -como fotos e información de contacto- sobre sus hijos.
El distrito dijo en un comunicado el miércoles por la noche que la investigación sobre el incidente de ciberseguridad “sigue abierta y activa” y que está cooperando con el FBI.
“Sabemos que muchas familias y el personal están frustrados debido a este incidente, al igual que nosotros, y apreciamos la paciencia que se está concediendo en esta situación”, escribió el distrito. “Como distrito, no somos únicos en esta vulnerabilidad, ya que distritos escolares de todo el país han sido víctimas de manera similar, al igual que entidades del sector privado”.
El mes pasado, el distrito dijo que estaba trabajando para identificar a los afectados y que recibirían una carta por correo.
La demanda presentada el martes se refiere al incidente de ciberseguridad como un “ataque de ransomware”, que el distrito no ha confirmado.
La demanda alega que la información personal de más de 200 mil personas parece haber sido robada por un grupo de hackers conocido como “SingularityMD”, que exigió un pago que el distrito se negó a realizar.
Según la denuncia, el distrito no ha reconocido que la información se esté haciendo pública ni que “los terceros responsables del ataque puedan seguir teniendo acceso a toda la información del distrito”.
El incidente llevó al “compromiso y divulgación pública de información altamente sensible” relacionada con estudiantes, familias y empleados, dice la denuncia.
Según la denuncia, el ataque fue un “suceso totalmente previsible” que debería haberse evitado. El documento señala que el distrito se vio afectado por un ataque de ransomware en 2020.
La denuncia alega que el distrito “no implementó procedimientos de seguridad razonables y adecuados”, no actualizó las licencias de software y no implementó “protecciones de contraseña comunes para evitar el hackeo de cuentas”.
Según los documentos judiciales, el distrito tampoco ha notificado adecuadamente a las víctimas del ataque y no ha proporcionado un aviso formal de violación de datos.
La demanda dice que los afectados se enfrentan ahora a una “batalla a largo plazo contra el robo de identidad como resultado de esta violación”, señalando que plantea un “riesgo continuo inminente e inminente”.
Hackett, el abogado de los padres, dijo el jueves que las actualizaciones sobre el caso y la información sobre cómo ponerse en contacto con el bufete de abogados Sklar Williams se publicarán en el sitio web de la firma.