El sector educativo, el tercero más ciberatacado a nivel global

José Luis Fernández

El sector educativo se ha consolidado como uno de los principales blancos de la ciberdelincuencia: solo en el segundo trimestre de 2024 fue el tercero más atacado a nivel global. Escuelas, universidades y centros de formación concentran datos personales y científicos altamente sensibles, a menudo protegidos por infraestructuras limitadas, según un informe de la compañía de ciberseguridad ESET.

Según los investigadores de ESET, los grupos APT han intensificado sus ataques a este sector, atraídos por sus características particulares: entornos con múltiples dispositivos conectados, políticas de acceso abiertas y escasa inversión en ciberseguridad, entre otras.

«El sector educativo ha pasado a convertirse en un blanco prioritario para los ciberdelincuentes», advierte Josep Albors, director de investigación y concienciación de ESET España. «La combinación de infraestructuras tecnológicas obsoletas, falta de personal especializado en ciberseguridad y una alta exposición al entorno digital hace que escuelas y universidades sean especialmente vulnerables».

El incremento de los ciberataques en el ámbito educativo responde a una combinación de distintos factores. ESET identifica las seis debilidades clave que explican por qué este sector es uno de los objetivos preferidos de los ciberdelincuentes. En primer lugar, presupuestos limitados, lo que equivale a riesgos elevados. Muchas instituciones educativas, tanto públicas como privadas, operan con recursos económicos y humanos limitados, lo que complica la contratación de especialistas en ciberseguridad y obliga a optimizar al máximo la inversión en soluciones de ciberseguridad.

Luego está el uso de dispositivos personales y redes abiertas. A menudo, estudiantes, docentes y personal acceden a plataformas institucionales a través de dispositivos propios, que habitualmente carecen de los controles adecuados, lo que conlleva una mayor exposición y multiplica los vectores de ataque, sin menospreciar una baja concienciación en ciberseguridad: La falta de formación específica en ciberseguridad convierte a los usuarios del entorno educativo en víctimas propicias para campañas de phishing y otros engaños basados en ingeniería social.

Además, la cultura abierta y descentralizada que favorece el intercambio de conocimiento también facilita el acceso no autorizado si no se aplican las medidas de seguridad adecuadas, en tanto que, en paralelo, el ritmo de digitalización supera al de actualización tecnológica. Muchas instituciones siguen operando con sistemas heredados, software sin soporte o dispositivos desactualizados. Además de gestionar datos personales y financieros, el sector gestiona información académica y científica que puede llegar a ser de alto valor comercial, ideológico o estratégico para estos actores.

Así operan los atacantes

Los métodos utilizados por los ciberdelincuentes para atacar las instituciones del sector educativo varían en función del objetivo perseguido y del tipo de amenaza. Por ejemplo, en uno de los casos analizados por los expertos de ESET, se observó como el actor malicioso intentaba eludir el software de seguridad, con EDR incluido, inyectando código malicioso en procesos legítimos mediante el uso de múltiples módulos diseñados para evitar su detección.

Entre las amenazas más persistentes en entornos académicos, especialmente en universidades, destaca el ransomware, seguido de las vulnerabilidades no parcheadas y campañas de phishing. Esta última modalidad ha aumentado en los últimos años, en parte por el uso de técnicas más sofisticadas impulsadas por la inteligencia artificial generativa.

Herramientas basadas en IA permiten crear mensajes falsos cada vez más creíbles y personalizados, y se combinan con otros métodos como los códigos QR maliciosos, que se distribuyen a través de correos electrónicos, folletos, pases de aparcamiento o formularios de ayuda financiera.

Ejemplos notorios de instituciones educativas ciberatacadas son la Universidad Autónoma de Barcelona (UAB), que en octubre de 2021 sufrió un ataque de ransomware que paralizó sus sistemas informáticos. Se vieron afectados los servicios de correo electrónico, campus virtual y bases de datos administrativas. La universidad tuvo que recurrir a soluciones temporales como correos alternativos y clases presenciales sin acceso digital.

Por su parte, la Universidad de Castilla-La Mancha (UCLM), en febrero de 2023 fue víctima de un ataque informático que afectó a los sistemas de gestión académica y administrativa. Se interrumpieron servicios como la matrícula, el acceso a notas y la gestión de expedientes. La universidad confirmó que no se comprometieron datos personales, pero el incidente generó gran preocupación.

En agosto de 2024, a propósito de una prueba de opositores en RTVE, un ciberataque comprometió los datos personales de aspirantes. Aunque no fue una universidad, el incidente afectó a un proceso educativo y de selección pública. Se filtraron datos como nombres, DNI y direcciones, lo que generó críticas sobre la seguridad digital en organismos públicos

Con carácter general, un estudio reveló que el 85% de las universidades ha sufrido algún tipo de ciberataque en el último año. Los ataques más comunes incluyen phishing, ransomware y accesos no autorizados. Las universidades son especialmente vulnerables por la gran cantidad de datos que manejan y la diversidad de dispositivos conectados.

¿Qué hacer?

Entre las principales recomendaciones para proteger el sistema educativo que comparte esta compañía en su estudio destaca el uso de contraseñas fuertes, únicas y con verificación en dos pasos. Es importante combinar mayúsculas, minúsculas, números y símbolos, y reforzarlas con autenticación multifactor para impedir accesos no autorizados.

Por supuesto, hacer copias de seguridad con frecuencia y guardar la información crítica en ubicaciones seguras y actualízalas de forma regular para evitar pérdidas en caso de ataque o fallo del sistema. También preparar y probar un plan de respuesta ante incidentes. Contar con un protocolo claro y probado agiliza la actuación y minimiza el impacto en caso de sufrir un ciberataque.

Hay que formar a toda la comunidad educativa en prevención digital, ya que la ciberseguridad empieza con la concienciación: alumnado, profesorado y personal administrativo deben saber cómo detectar amenazas y actuar con cautela, y, al mismo tiempo, definir una política de uso de dispositivos y redes, estableciendo normas claras sobre cómo proteger los equipos y cómo actuar en caso de detectar comportamientos sospechosos.

Fuente de la Información: https://exitoeducativo.net/el-sector-educativo-el-tercero-mas-ciberatacado-a-nivel-global/