Un alumno de 17 años que estaba cursando el último ciclo de secundaria en un colegio del Reino Unido descubrió una grave vulnerabilidad en la red informática del centro, que permitía acceso pleno y sin autenticación administrativa.
Al conectar su portátil al dominio Active Directory del colegio, pudo acceder directamente a las herramientas del controlador de dominio en modo visualización, sin necesidad de ingresar credenciales de administrador. Investigando en el directorio, localizó la cuenta del administrador del dominio cuyo password, «horse fence ditch», estaba literalmente escrito en el campo de descripción, lo que cualquier usuario de la red podía ver. También halló cuentas de respaldo con claves fáciles como «bd» y «bigbaddog».
Con privilegios totales, el joven pudo acceder a datos personales de estudiantes y profesores, controlar remotamente servidores a través de Remote Desktop y manipular LanSchool, una herramienta popular para la gestión en aulas. Además, el sistema estaba integrado con Google Workspace, lo que le brindó acceso incluso a los buzones de correo de los usuarios.
El alumno también encontró configuraciones de firewall, políticas de seguridad modificables y registros de pulsaciones de teclas. Sin embargo, decidió no utilizar estas posibilidades para hacer ningún daño, manteniendo el compromiso con la ética y cursó sus estudios sin que se produjera ningún incidente.
Este caso pone al descubierto fallos básicos en la gestión de la seguridad escolar: no almacenar contraseñas en texto claro ni en campos accesibles dentro de Active Directory, limitar estrictamente quién puede acceder a herramientas administrativas y asegurar que credenciales de plataformas vinculadas tengan niveles adecuados de protección y segregación.
El ejemplo resalta la importancia de una administración informática rigurosa para evitar que brechas tan sencillas queden abiertas y pone en valor también la responsabilidad mostrada por el joven al no aprovechar su acceso.
