Al inicio de cada año escolar, escuelas, colegios y universidades en el Reino Unido se apresuran a incorporar a miles de nuevos estudiantes, docentes y personal, provisionando cuentas, emitiendo credenciales y conectando una oleada de dispositivos a las redes institucionales.

Esta presión operativa genera oportunidades para los atacantes, y este año, la IA está ampliando la amenaza como nunca. No solo las campañas de phishing son más convincentes, sino que una capa oculta de identidades no humanas está expandiendo la superficie de ataque.

Los atacantes son persistentes y el sector educativo sigue siendo un objetivo principal, con muchos enfrentando ciberataques semanalmente. La encuesta de ciberseguridad gubernamental del Reino Unido reveló que el 27% de las instituciones de educación superior y continua experimentaron una brecha o ataque al menos semanal, en comparación con el 14% de las escuelas primarias y el 20% de las secundarias.

Navegar la ventana de amenaza ampliada

El sector educativo es uno de los más atacados por ransomware, robo de credenciales y filtración de datos. Para los hackers, las escuelas y universidades representan una combinación atractiva de datos de alto valor, como expedientes estudiantiles, información financiera e investigación, junto a departamentos de IT infrafinanciados y una base de usuarios enorme y en constante rotación.

La temporada de regreso a clases intensifica esta presión. La creación masiva de cuentas, la inscripción masiva de dispositivos y la onboarding de aplicaciones de terceros ocurren simultáneamente, generando un mayor riesgo de configuraciones erróneas y de permisos de acceso excesivos. El gobierno del Reino Unido encontró que ninguna área del sector educativo tenía la mayoría de instituciones cumpliendo con todas las 10 medidas de Seguridad Cibernética del gobierno.

Solo el 14% de las escuelas primarias, el 23% de las secundarias, el 33% de los institutos de educación superior y el 45% de las instituciones de educación superior completaron las 10 medidas. A medida que entran al entorno ya inseguro miles de identidades y dispositivos nuevos, las brechas en los controles de seguridad pueden volverse más difíciles de identificar y gestionar.

La IA ha hecho que las amenazas de ciberseguridad sean significativamente más peligrosas. La misma encuesta gubernamental encontró que el phishing era la principal amenaza identificada por las instituciones que habían sufrido una brecha, y esos correos pueden ahora imitar con precisión comunicaciones de oficinas de becas, helpdesks de TI o autoridades universitarias, sin las señales de alerta tradicionales que antes facilitaban detectarlos.

La investigación de Keeper Security sobre IA y ciberseguridad en educación encontró que el 41% de las escuelas han experimentado incidentes cibernéticos relacionados con IA, incluyendo phishing y desinformación, mientras que el 90% de los líderes educativos expresaron preocupación por las amenazas cibernéticas relacionadas con IA. Sin embargo, solo una de cada cuatro respuestas se sentía muy confiada para reconocer amenazas habilitadas por IA, como deepfakes o phishing potenciado por IA.

A medida que la IA hace que los ataques de ingeniería social sean más convincentes, las instituciones educativas deben reforzar la concienciación humana con controles de identidad y acceso más sólidos que no dependan de que los usuarios identifiquen cada mensaje malicioso.

La superficie de ataque oculta: identidades no humanas en EdTech

Al comenzar el nuevo año académico, los equipos de TI deben enfocarse adecuadamente en asegurar las cuentas humanas, pero existe otra población mucho más grande de identidades digitales que puede escapar a la atención: las Identidades No Humanas (NHIs, por sus siglas en inglés).

Las NHIs están ahora integradas en entornos educativos modernos, desde cuentas de servicio que sincronizan expedientes estudiantiles con plataformas de aprendizaje hasta llaves API que conectan aplicaciones de terceros, libros digitales y sistemas de pago.

Las identidades de máquinas y certificados autentican todo, desde el Wi‑Fi del campus y pizarras inteligentes hasta equipos de laboratorio y cámaras de seguridad, mientras las cargas de trabajo en la nube automaticen copias de seguridad, canalización de investigación y procesos administrativos. Del mismo modo, agentes de IA que impulsan chatbots de admisiones, helpdesks y herramientas de evaluación añaden otra capa de identidades y privilegios de acceso que las instituciones deben gestionar.

Estas identidades son esenciales para mantener en funcionamiento a las escuelas y universidades, pero también pueden crear brechas de seguridad significativas cuando las credenciales rara vez se rotan, quedan tokens de integración antiguos activos o se otorga a cuentas automatizadas más acceso del necesario.

A diferencia de empleados y estudiantes, las NHIs no quedan cubiertas naturalmente por procesos de onboarding y offboarding. Sin un inventario completo, las organizaciones pueden batallar para saber qué identidades existen, quién las posee y a qué pueden acceder.

La conversación de ciberseguridad en la educación históricamente se ha centrado en proteger a estudiantes, docentes y administradores, pero las identidades de máquinas que impulsan EdTech moderno merecen el mismo escrutinio, porque, independientemente de si una brecha proviene de una persona o de una máquina, el impacto es el mismo.

La vuelta a clases es una ocasión útil para revisar el inventario completo de identidades, tanto humanas como no humanas, eliminar identidades que ya no son necesarias y endurecer el acceso para las que permanecen.

Cómo pueden las áreas de TI de educación reducir su riesgo

Para la mayoría de las instituciones, los fundamentos de gestionar a las personas son manejables. La brecha crítica es la visibilidad y gobernanza sobre las NHIs que dan soporte a EdTech moderno, como cuentas de servicio, llaves API, certificados de máquina y agentes de IA que se multiplican con cada nueva integración. Los equipos de seguridad deben seguir estos pasos para ayudar a asegurar NHIs y humanos por igual.

Habilitar la autenticación multifactor (MFA)

A medida que comienza el nuevo semestre, las organizaciones deben garantizar que MFA se aplique a todas las cuentas de docentes, personal y estudiantes, con nuevos usuarios incorporados por defecto desde el momento de la provisionamiento. MFA sigue siendo una defensa fundamental contra ataques basados en credenciales.

Auditar el acceso privilegiado

Muchas cuentas otorgan a los usuarios un acceso privilegiado más allá de lo necesario para su rol. Los privilegios deben auditarse tanto para humanos como para no humanos. Esto incluye retirar acceso a empleados y estudiantes que ya no están, dar de baja cuentas de servicio caducadas y eliminar privilegios administrativos innecesarios.

Desplegar administradores de contraseñas empresariales

La seguridad de contraseñas sigue siendo uno de los problemas más difíciles para los equipos de seguridad. La concienciación y la formación pueden proporcionar a estudiantes, docentes y personal el conocimiento para crear contraseñas robustas, pero convertir ese conocimiento en práctica es difícil debido a la reutilización de contraseñas, contraseñas escritas y almacenamiento en navegadores. Los administradores de contraseñas empresariales eliminan ese hueco, permitiendo a los usuarios crear y almacenar credenciales fuertes y únicas.

Construir un inventario de identidades no humanas

No puedes asegurar lo que no ves. Las escuelas deben catalogar cada cuenta de servicio, cada clave API, cada certificado de máquina, cada identidad en la nube y cada agente de IA. Establecer propiedad y registrar a qué puede acceder cada identidad.

Establecer políticas de rotación de credenciales

Es importante establecer políticas de rotación de credenciales para identidades de máquina, prestando especial atención a los agentes de IA y las integraciones de EdTech de terceros añadidas para el nuevo año escolar. El fallo de Canvas, reportado en abril de 2026, afectó a casi 9,000 instituciones educativas en todo el mundo, recordándonos que las credenciales de terceros requieren la misma disciplina de rotación que las cuentas internas.

El acceso de terceros debe revisarse regularmente y los equipos de seguridad deben escrutinar la seguridad de todos los socios y proveedores actuales y potenciales.

Actualización de la formación

La formación en seguridad debe adaptarse al panorama de amenazas, especialmente en phishing, donde los mensajes generados por IA pueden ser indistinguibles de comunicaciones institucionales legítimas. El personal debe verificar de forma independiente solicitudes inusuales en lugar de fiarse solo de las señales visuales.

Anticiparse a la vorágine

La vuelta a clases siempre ejercerá presión sobre los equipos de TI educativos, pero no tiene por qué convertirse en una ventana abierta para los atacantes. Al iniciar el nuevo año académico, la seguridad debe ir más allá de la incorporación de estudiantes y personal para entender cada identidad con acceso a sistemas y datos críticos.

Fortaleciendo una autenticación robusta, limitando el acceso privilegiado, mejorando la higiene de credenciales y obteniendo visibilidad sobre la creciente población de identidades no humanas, los equipos de TI pueden reducir significativamente su exposición.

La seguridad debe tratarse como una disciplina continua, no como una lista de verificación de inicio de curso. Es crucial que cada identidad humana y de máquina tenga el acceso correcto, para el propósito correcto y solo por el tiempo necesario.

Hemos destacado el mejor software antivirus.

Este artículo se produjo como parte de TechRadar Pro Perspectives, nuestro canal para presentar las mejores mentes de la industria tecnológica en la actualidad.

Las opiniones expresadas aquí son las del autor y no necesariamente las de TechRadarPro o Future plc. Si está interesado en contribuir, obtenga más información aquí: https://www.techradar.com/pro/perspectives-how-to-submit