Sitios falsos mostraron resultados del ICFES antes de su publicación oficial
Mientras miles de estudiantes esperan los resultados oficiales del Saber 11 este viernes 25 de septiembre, varias páginas que no pertenece al ICFES ya los estaba mostrando. MuchoHacker.lol rastreó uno de esos sitios, analizó su funcionamiento y encontró que su propio creador admitió que estaban explotando la API de la entidad en en un chat público.
No podemos afirmar si los datos son los reales o es parte de una broma o incidente digital. Tampoco podemos afirmar si estamos ante un caso de explotación ilegal de una API, pese a los esfuerzos técnicos que implementamos para descubir el origen de los datos.
Durante toda la mañana hicimos varias pruebas técnicas para tratar de determinar de dónde salen los datos de las personas pero uno de los sitios tiene mejores medidas de seguridad que el propio Icfes, entidad que año a año tiene graves incidentes digitales sin que nadie asuma sus responsabilidades. En Febrero de este año pudimos verificar que más de 1.7 millones de datos habrían sido robados de la entidad.
Como antecedente importante este año se presentó otro supuesto leak de datos de 30 millones de datos que supuestamente eran de la entidad pero nunca pudimos verificarlo.
El hallazgo importa por una razón simple: los puntajes de una prueba presentada en julio no deberían existir en ningún lugar fuera del ICFES antes de la fecha oficial. Si una página ajena los muestra, la pregunta obligada es de dónde los saca. Y claro, miles de estudiantes están preguntándose si esos son los datos reales.
Ante la gravedad de los hechos llevamos toda la mañana intentando comunicarnos con la oficina de prensa y comunicaciones del Icfes pero no han respondido. Por teléfono no existe forma de hablar con un humano y en nuestras verificaciones del sitio web nos dimos cuentas que parte del portal está caído.
Qué es el sitio
Una de las páginas imita la consulta oficial de resultados. Usa el mismo lenguaje del ICFES, la misma terminología del examen y un formulario que pide tipo y número de documento y fecha de nacimiento del estudiante. A cambio, promete mostrar el puntaje.
No es del ICFES. El dominio termina en .lol, (como nosotros LOL) una terminación que ninguna entidad del Estado colombiano puede usar; las páginas oficiales terminan en .gov.co. El ICFES ha reiterado en sus canales que los resultados solo se consultan por sus medios y que no se han filtrado.
Hay una señal que descarta la idea de una vieja base de datos reciclada: el dominio fue registrado el 23 de septiembre, un día antes de la publicación oficial. Nadie monta un sitio la víspera para vender datos viejos. Es una operación creada a propósito para este momento.
La confesión
El sitio dirige a un grupo de Discord en el que estuvimos navegando toda la mañana de hoy que, para aparentar legitimidad, usa el nombre completo del Instituto Colombiano para la Evaluación de la Educación. Allí, en una sección de preguntas frecuentes, el administrador respondió a los usuarios.
Ante la pregunta de si los resultados son reales, escribió: “es lo que el icfes tiene en su base de datos, realmente no tengo ninguna informacion a la mano o base de datos, lo unico que hago es mandar una solicitud a la API de icfes”.
Esa frase es la clave técnica de todo el caso. El operador afirma que no guarda una base robada, sino que consulta en vivo un sistema del ICFES cada vez que alguien pide un resultado. Eso explica por qué la página se comporta como lo hace: responde con demoras, limita el número de consultas por minuto y guarda resultados temporalmente. Todo ello tiene sentido si depende de un sistema externo que no controla y que no quiere saturar.
De hecho, la página se cayó durante el día. El propio administrador dio la razón: “porque media Colombia esta en la pagina, la pagina la hice para ver los resultados con amigos”. Y reveló que existe una segunda vía de acceso reservada para quienes aportan al servidor: “boosters tienen acceso a otra pagina para poder conseguir los resultados sin que la pagina colapse”.
Sobre el riesgo para los estudiantes, restó importancia a la recolección de documentos: “cuesta mas guardar documentos que vender los documentos como tal, no, y la verdad no me van a servir tarjetas de identidad en el primer lugar”. Es una admisión, no una defensa: reconoce que por sus manos pasan los documentos de identidad de quienes consultan.
Es importante que estas notas que están publicas en un servidor de Discord las hace un anónimo que usó un meme como recurso gráfico del sistema que envía el supuesto dato del puntaje.
Por qué es peligroso aunque parezca “solo un puntaje”
Cada consulta entrega a un desconocido el documento y la fecha de nacimiento de un estudiante, en su mayoría menores de edad. Esos dos datos bastan para intentar suplantar a una persona en otros trámites o para cruzarlos con otras bases y construir un perfil más completo.
El argumento de que “lo hice para ver resultados con amigos” no se sostiene cuando, en sus palabras, “media Colombia” está usando la página, hay un sistema de accesos por niveles y un canal de soporte con más de mil miembros.
El tema central de todo esto es por qué unas personas tienen al menos el número de fecha y fecha de nacimiento de quienes supuestamente presentaron el examen de estado. Una mamá se comunicó con MuchoHacker.lol preocupada porque los datos de su hija estaban en ese portal. Ella hizo la prueba con los datos personales de su hija y estaban allí. Las evidencias fueron compartidas con nosotros y las verificamos.
Qué está verificado y qué sigue en investigación
MuchoHacker.lol confirmó de forma independiente la fecha de creación del dominio, la infraestructura que usa el sitio y la existencia y el contenido del grupo de Discord. La afirmación del operador de que consulta “la API del ICFES” es, por ahora, su propia versión de los hechos. Estamos verificando el origen real de los datos comparando lo que muestra la página con el reporte oficial una vez se publique. Este artículo se actualizará con esa conclusión.
El Icfes debería dar respuesta a los miles de estudiantes que se preguntan de dónde sacaron sus datos. Porqué al menos tres sitios web tienen esta información.
Actualización, jueves 24 de septiembre:
De forma un poco inexplicable y sin mayores detalles el Icfes publicó los resultados que versiones oficiales de la propia entidad se iban a publicar el 25 de septiembre.
Dos días antes habían publicado esto
Lo peor del asunto. La mamá que se comunicó conmigo volvió a verificar y nos comentó que los resultados que ella misma consultó en la página falsa son los mismos que aparecen en la oficial. Patrón que se repiten.
Para completar el desastre digital, del que nadie asume alguna responsabilidad, la página oficial, que acabaron de publicar no funciona.
