La AEPD confirma que Cantabria no protegió Yedra: el robo de 150.000 archivos de alumnos y profesores era evitable.
Yedra lleva más de veinte años funcionando y acumula 250.000 usuarios entre familias, docentes y escolares. De sus servidores salieron DNI, teléfonos, correos electrónicos, direcciones postales y fotografías de carné de menores y profesorado. El botín del robo en Yedra incluía el dato más delicado del sistema educativo cántabro. La ciberseguridad del sector público vuelve al centro del debate con un informe demoledor firmado por la propia Agencia Española de Protección de Datos.
Claves de la operación
- Sin multa, pero con diez millones como referencia. Si el mismo fallo lo comete una empresa privada, la infracción se castiga con hasta 10 millones de euros o el 2% del volumen de negocio anual. Al ser administración, solo hay medidas correctoras.
- Altamira arranca con examen previo del regulador. La AEPD exige al Gobierno cántabro informar del estado de la nueva plataforma educativa, presupuestada en cerca de 10 millones de euros.
- Cl@ve PIN obligatoria desde el 1 de enero de 2027. El acceso a Yedra exigirá identificación y el profesorado deberá validar con su teléfono para pasar lista o comunicarse con las familias.
El ataque duró seis días de abril de 2024. El Centro Criptológico Nacional (CCN) avisó al Ejecutivo autonómico mientras el saqueo seguía en marcha: detectó conexiones desde direcciones IP maliciosas y un posible compromiso de credenciales. La alerta llegó con los archivos todavía saliendo del sistema.
Cinco meses después, un segundo aviso del mismo organismo hablaba ya de brecha de seguridad. La respuesta recogida en los escritos que el Gobierno remitió a la Agencia entre septiembre y octubre de 2024 fue que el asunto ‘no tiene relevancia’ y que no existía ‘certeza técnica’ de que los datos comprometidos procedieran de una fuga. Dos usuarios afectados fue la cifra oficial que defendió Cantabria.
El relato cambió en verano de 2025. La Policía comunicó la incautación a un pirata informático de datos comprometidos en aquella incursión, dentro de una investigación ordenada por la Audiencia Nacional, y la dirección IP coincidía con la que el CCN había señalado más de un año antes. En su poder aparecieron DNI, teléfonos, correos, direcciones y fotografías. La misma IP que el Gobierno había minimizado durante quince meses.
Una administración que tarda quince meses en llamar brecha a lo que su servicio técnico le señaló el primer día no tiene un problema técnico.
La Agencia propuso sanción en abril de este año por infringir la ley al no garantizar ‘un nivel de seguridad adecuado’. Las medidas implantadas, dice el documento, ‘no impidieron el incidente’ y quedaron acreditadas ‘diferentes vulnerabilidades’. Pasados cuatro meses sin alegaciones, el presidente del organismo, Lorenzo Cotino, firmó la resolución final. Dos agravantes pesaron en la decisión: menores de edad y DNI en el lote sustraído.
El castigo que una empresa no habría podido esquivar
El informe cuantifica lo que habría costado el mismo fallo en el sector privado: hasta 10 millones de euros o el 2% del volumen de negocio anual. Para una administración pública no hay sanción económica, solo medidas correctoras. La AEPD concede tres meses a la Consejería de Educación para acreditar su seguridad, un plazo que arranca con la notificación de la resolución firmada tras el verano. Quien no paga, en este modelo, es quien más debería responder ante los afectados.
Entre las exigencias figura también el estado de desarrollo de Altamira, la plataforma llamada a sustituir a Yedra. El consejero Sergio Silva ya reconoció que la herramienta actual, ‘tal y como está configurada’, no puede ser operativa. Cantabria pagará dos veces: el fallo y la migración.
Cl@ve PIN en el aula: la seguridad que llega por la vía del profesorado
Desde el 1 de enero de 2027 será obligatorio identificarse para entrar en Yedra y los docentes deberán usar su Cl@ve PIN para pasar lista o comunicarse con las familias. CCOO ya ha advertido de que ‘las nuevas trabas digitales’ asfixiarán al profesorado y restarán operatividad a los centros escolares. El coste de la brecha se traslada al aula en forma de minutos y contraseñas.
Yedra arrastra además un problema de fondo que los sindicatos llevan años señalando: obsolescencia, escasa practicidad y falta de adaptación a las necesidades reales de los centros, en palabras de ANPE. La Consejería denunció el asunto ante la Policía Nacional y activó un plan de modernización con refuerzo de personal propio y del proveedor que mantiene el sistema.
La causa penal sigue su curso contra el presunto hacker, y el Gobierno cántabro solicitó personarse como perjudicado. Ninguna de esas actuaciones devuelve los DNI de 150.000 personas. La documentación sustraída ya circuló y el daño, en términos de suplantación y fraude, se mide en años, no en comunicados.
El negocio que se abre detrás de Altamira
Hay algo más que un correctivo administrativo en la resolución de la Agencia Española de Protección de Datos. Es un aval documental para el siguiente contrato. Altamira nace con la obligación de pasar un examen previo del regulador, una circunstancia que en el mercado de la ciberseguridad pública funciona como filtro de entrada y como argumento comercial. En España, los contratos de digitalización autonómica mueven adjudicaciones en las que compiten Indra, Telefónica Tech y consultoras de servicios gestionados de origen local.
La comparación con el IBEX 35 ayuda a dimensionar el fallo. Indra, el principal referente español de tecnología para administraciones, construye su negocio sobre la confianza institucional: un incidente con dos años de opacidad encarece la prima reputacional de todo el sector público digital y alarga los plazos de licitación. La confianza institucional es el activo que nadie presupuesta y el que todos acaban pagando.
Queda un riesgo evidente que el informe deja en el aire. La Agencia exige acreditar medidas, pero no audita el resultado: si Altamira hereda la arquitectura de Yedra sin un rediseño de permisos, registros, y control de accesos, el patrón se repetirá con otro nombre y otros 250.000 usuarios. El calendario tampoco ayuda. La nueva aplicación debe estar financiada en los presupuestos de 2027 y operativa en un plazo que el propio consejero ya admitió que iría para largo.
La pregunta que queda abierta no es técnica. Es si Cantabria publicará el resultado de ese examen de seguridad cuando llegue, o si volverá a responder que no hay evidencia. La resolución firmada tiene fecha; la transparencia, todavía no.
