Usuarios poco entrenados, sistemas heterogéneos y datos sensibles: el sector educativo, blanco de los ciberataques

En un momento en el que la digitalización avanza a pasos agigantados en los centros educativos, también lo hacen las amenazas. De hecho, según Pandora FMS, una plataforma que permite supervisar y proteger infraestructuras tecnológicas complejas, los ciberataques a sectores esenciales en España han aumentado un 43 %, y el ámbito educativo no ha quedado al margen. Con aulas cada vez más conectadas, plataformas virtuales de aprendizaje, exámenes online y datos sensibles almacenados en la nube, la ciberseguridad se ha convertido en una prioridad urgente.

Para analizar si los centros escolares están realmente preparados para hacer frente a estos riesgos y conocer en profundidad cómo la tecnología puede ayudar a proteger el ecosistema educativo, hablamos con Sancho Lerena, CEO y fundador de Pandora FMS.

¿Qué tipos de ataque afectan con más frecuencia al sector educativo?
–Los más frecuentes son los ataques de ransomware, el phishing orientado al robo de credenciales y los ataques de denegación de servicio (DDoS), especialmente durante periodos críticos como matriculaciones o evaluaciones. También se detectan accesos no autorizados a través de plataformas mal configuradas.

¿A qué se debe este tipo de ataque?
–El sector educativo combina muchos factores de riesgo: usuarios poco entrenados, sistemas heterogéneos, datos sensibles y recursos limitados para defensa. Por eso es uno de los objetivos preferidos para los atacantes, especialmente en campañas automatizadas. Además, muchos centros carecen de personal técnico especializado, operan con infraestructuras obsoletas y utilizan soluciones digitales dispersas sin control centralizado. A esto se suma una cultura digital con baja concienciación en ciberseguridad y el uso masivo de dispositivos personales.

¿Podría compartir algún caso en el que un ciberataque haya tenido un impacto significativo en un centro educativo?
–Uno de los más conocidos fue el de Fylde Coast Academy Trust (en Reino Unido), una agrupación de centros educativos públicos ubicada en Lancashire, Inglaterra. En 2023, la red sufrió un ciberataque mediante ransomware que bloqueó por completo la infraestructura informática de diez centros escolares simultáneamente. El impacto fue enorme: no podían acceder a sistemas de gestión académica, materiales educativos ni comunicaciones internas. La situación fue tan crítica que se vieron obligados a pagar un rescate de tres millones de libras para recuperar el acceso a sus datos y sistemas. Lo más revelador es que, tras pagar un rescate de tres millones de libras, decidieron invertir únicamente 300.000 libras en mejorar su ciberseguridad. Un contraste que refleja cómo, en muchos casos, las decisiones preventivas llegan tarde y con una inversión insuficiente, incluso después de sufrir un daño de gran magnitud.

Aparte del ‘ransomware’ y ‘phishing’, ¿existen nuevas formas de ataque que estén creciendo específicamente en entornos educativos?
–Sí. Aumentan los ataques dirigidos a plataformas de videoconferencia, el secuestro de cuentas mediante ingeniería social y la explotación de vulnerabilidades en software educativo, tales como plataformas de enseñanza, sistemas de comunicación con los padres, cursos online, sistemas de evaluación, etc . Además, se está utilizando inteligencia artificial para generar correos fraudulentos más sofisticados e incluso deep fakes en suplantaciones de identidad en tiempo real durante clases virtuales, entrevistas o reuniones escolares. Usando herramientas de voz o imagen sintética, un atacante puede fingir ser un estudiante o docente y obtener acceso o manipular decisiones.

¿Qué medidas mínimas deberían implementar colegios, institutos o universidades para empezar a protegerse de forma eficaz?
–Hay un conjunto básico de medidas que cualquier centro educativo, independientemente de su tamaño, debería implementar: autenticación multifactor, copias de seguridad regulares y cifradas, segmentación de red, actualizaciones automáticas de sistemas y software, y una supervisión continua de la infraestructura IT. Pero la seguridad no depende solo de la tecnología ni del presupuesto. Es fundamental contar con una buena organización interna, formación continua del personal (docente y administrativo), y una gestión eficiente de todo el entorno digital. Sin una cultura de ciberseguridad en el centro, cualquier herramienta, por avanzada que sea, se queda corta.

Habla sobre la cultura de ciberseguridad, ¿qué importancia tiene la formación en ciberseguridad de, en general, la comunidad educativa? 
–La mayoría de las brechas comienzan por errores humanos. El personal debe ser capaz de identificar correos sospechosos, proteger sus contraseñas y seguir buenas prácticas digitales. La formación debería estar integrada en el funcionamiento habitual del centro. Es paradójico que en el mundo de la enseñanza, la falta de cultura de seguridad informática sea la norma entre su personal, cuando cada día más dependen de las TIC como herramienta básica para su trabajo.

Y los datos de los estudiantes, ¿cómo se pueden proteger para garantizar entornos digitales seguros?
–Aplicando principios de minimización de datos, cifrado, control de accesos segmentados, auditoría de actividades y uso exclusivo de plataformas con garantías legales. También es clave evitar el uso de cuentas genéricas o compartidas y reforzar las políticas de privacidad y consentimiento. Desde Pandora, de hecho, hemos colaborado con distintas instituciones educativas en América y Europa con el fin de monitorizar dispositivos críticos, eliminar falsos positivos, configurar alarmas realmente útiles y reducir drásticamente los tiempos de diagnóstico.

¿Qué recomendaciones daría a un centro educativo que quiere empezar a tomarse en serio la ciberseguridad?
–Que realizaran una auditoría básica del entorno IT para conocer riesgos y vulnerabilidades, que unificaran la gestión y visibilidad de todos los sistemas mediante herramientas de monitorización y, sobre todo, que formaran al personal en ciberseguridad desde el inicio. La tecnología por sí sola no es suficiente.