Los colegios abren sus puertas, también los digitales

Por qué los centros educativos deben proteger no solo a las personas, sino también a los «invisibles» digitales

Al comienzo del curso, los colegios, institutos y universidades del Reino Unido incorporan de golpe a miles de nuevos alumnos, estudiantes y empleados. Se les crean cuentas, se les conceden permisos y se conectan dispositivos a las redes. Esta precipitación no solo resulta cómoda para los administradores: los errores de configuración y los permisos olvidados se convierten en una oportunidad para los atacantes. Este año, la inteligencia artificial (IA) agrava el riesgo: los correos de phishing parecen más convincentes y aumenta el número de identidades de máquina no inventariadas, es decir, credenciales digitales de programas y dispositivos.

Los centros educativos siguen siendo un objetivo frecuente de los ataques. Según la encuesta del Gobierno británico sobre amenazas cibernéticas, un 27 % de las instituciones de formación profesional superior y educación superior, un 20 % de los institutos y un 14 % de los colegios de primaria declararon sufrir un ataque o una intrusión al menos una vez por semana. Para quienes extorsionan y roban credenciales, los centros educativos resultan atractivos porque combinan información valiosa —datos del alumnado, información financiera y resultados de investigaciones— con recursos informáticos limitados y una rotación constante de usuarios.

El riesgo se hace especialmente visible al comienzo del curso: se crean cuentas en masa, se registran dispositivos y se conectan aplicaciones de terceros. Todo ello aumenta la probabilidad de que haya configuraciones erróneas y permisos de acceso excesivos. Los datos del Gobierno muestran que ningún nivel del sistema educativo llega siquiera al 50 % de centros que hayan cumplido las diez recomendaciones británicas de ciberseguridad: las cifras son del 14 % en primaria, el 23 % en secundaria, el 33 % en los centros de formación continua y el 45 % en las universidades. Cuando miles de nuevos usuarios y dispositivos se incorporan a la vez a un entorno ya vulnerable, resulta más difícil detectar y corregir las deficiencias de protección.

La IA hace que el engaño resulte más convincente. El phishing —mensajes falsos que buscan obtener contraseñas y otros datos— fue la principal amenaza entre los centros que notificaron incidentes. Ahora, un correo puede imitar a la perfección el estilo del servicio de asistencia, del departamento de ayudas al estudiante o de la dirección de una universidad, sin los errores habituales que antes permitían reconocer una falsificación.

Un estudio de Keeper Security sobre IA y ciberseguridad en la educación reveló que el 41 % de los colegios había sufrido incidentes cibernéticos relacionados con la IA, incluidos el phishing y la desinformación. El 90 % de los responsables educativos se preocupa por este tipo de amenazas, pero solo uno de cada cuatro está seguro de que podría reconocer un deepfake o un ataque de phishing creado con IA. Por eso, la seguridad no puede basarse en la esperanza de que cada usuario detecte a tiempo un correo sospechoso: hacen falta mecanismos sólidos para gestionar las identidades y los accesos.

No solo importan las cuentas de las personas

Al comienzo del curso, los equipos informáticos suelen centrarse en las cuentas del alumnado y del personal. Pero los sistemas educativos también contienen un enorme grupo, menos visible, de entidades digitales: las identidades no humanas (Non-Human Identities, NHI). Son credenciales que permiten a programas, servicios y dispositivos interactuar entre sí.

Entre las NHI hay cuentas de servicio que sincronizan los datos del alumnado con las plataformas educativas y claves API para conectar aplicaciones de terceros, libros de texto digitales y sistemas de pago. Los certificados y las identidades de máquina se utilizan para conectarse a la wifi del campus, las pizarras interactivas, los equipos de laboratorio y las cámaras de vigilancia. Los procesos en la nube realizan automáticamente copias de seguridad, procesan datos de investigación y ayudan con las tareas administrativas. Los agentes de IA —por ejemplo, los chatbots de admisiones, los asistentes virtuales de soporte y las herramientas de corrección de trabajos— también tienen sus propias identidades y permisos de acceso.

La educación moderna no funciona sin estos sistemas. Pero si las contraseñas y las claves se cambian pocas veces, los antiguos tokens de integración siguen activos y las cuentas automatizadas reciben más permisos de los necesarios, se convierten en una vulnerabilidad. A diferencia del personal y el alumnado, las cuentas de máquina no pasan por los procedimientos habituales de incorporación y baja. Sin un inventario completo, la organización puede desconocer qué identidades existen, quién es responsable de ellas y a qué datos tienen acceso. Que el atacante haya entrado a través de una máquina y no de una persona no suaviza las consecuencias de una intrusión.

El comienzo del curso es un buen momento para revisar el conjunto completo de identidades, humanas y de máquina: eliminar las que ya no sean necesarias y limitar los permisos de las que se mantengan. Para protegerse, se recomienda a los equipos informáticos:

• Activar la autenticación multifactor (MFA) para las cuentas del profesorado, el personal y el alumnado. Los nuevos usuarios deben disponer de ella desde el momento en que se crea su cuenta. La MFA exige confirmar el inicio de sesión mediante un método adicional y ayuda a protegerse del robo de contraseñas.
• Revisar los accesos privilegiados. Hay que revisar los permisos tanto de las personas como de las cuentas de máquina: retirar el acceso al personal y al alumnado que se hayan marchado, desactivar las cuentas de servicio caducadas y eliminar los privilegios administrativos innecesarios.
• Utilizar gestores de contraseñas corporativos. La formación ayuda a entender cómo debe ser una contraseña segura, pero no siempre cambia los hábitos: se reutilizan contraseñas, se apuntan o se guardan en el navegador. Un gestor de contraseñas ayuda a crear y almacenar contraseñas complejas y únicas.
• Crear un inventario de NHI. Hay que incluir todas las cuentas de servicio, claves API, certificados de máquina, identidades en la nube y agentes de IA, asignar un responsable a cada elemento y registrar a qué sistemas y datos puede acceder.
• Cambiar periódicamente las credenciales de máquina. Merecen especial atención los agentes de IA y las integraciones de servicios educativos de terceros incorporadas al comienzo del curso. El artículo cita el ataque al sistema de gestión del aprendizaje Canvas, del que se informó en abril de 2026: afectó a casi 9.000 centros educativos de todo el mundo. El caso recuerda que las contraseñas y claves de los proveedores deben cambiarse con la misma disciplina que las credenciales internas. Hay que revisar periódicamente los accesos de los socios y comprobar la seguridad de los proveedores.
• Actualizar la formación del personal. Las instrucciones deben tener en cuenta los correos de phishing generados con IA que se parecen a comunicaciones auténticas del centro. Las solicitudes inusuales deben verificarse por una vía independiente, en lugar de juzgarlas solo por el aspecto del correo.

El comienzo del curso añade inevitablemente trabajo a los equipos informáticos, pero no tiene por qué convertirse en una puerta abierta para los atacantes. La protección debe abarcar no solo a los nuevos alumnos y empleados, sino también a todas las identidades que tienen acceso a sistemas y datos importantes. Una autenticación sólida, la limitación de privilegios, un uso cuidadoso de las contraseñas y la visibilidad de las cuentas de máquina reducen considerablemente los riesgos.

La ciberseguridad no es una lista estacional de tareas que se completa antes del primer día de clase, sino un trabajo constante. Tanto a las personas como a las máquinas se les deben conceder únicamente los permisos que necesitan para una tarea concreta y solo durante el tiempo necesario.