Al inicio de cada año escolar, escuelas, colegios y universidades en el Reino Unido se apresuran a incorporar a miles de nuevos estudiantes, docentes y personal, provisionando cuentas, emitiendo credenciales y conectando una oleada de dispositivos a las redes institucionales.

Esta presión operativa genera oportunidades para los atacantes, y este año, la IA está ampliando la amenaza como nunca. No solo las campañas de phishing son más convincentes, sino que una capa oculta de identidades no humanas está expandiendo la superficie de ataque.

Los atacantes son persistentes y el sector educativo sigue siendo un objetivo principal, con muchos enfrentando ciberataques semanalmente. La encuesta de ciberseguridad gubernamental del Reino Unido reveló que el 27% de las instituciones de educación superior y continua experimentaron una brecha o ataque al menos semanal, en comparación con el 14% de las escuelas primarias y el 20% de las secundarias.

Navegar la ventana de amenaza ampliada

El sector educativo es uno de los más atacados por ransomware, robo de credenciales y filtración de datos. Para los hackers, las escuelas y universidades representan una combinación atractiva de datos de alto valor, como expedientes estudiantiles, información financiera e investigación, junto a departamentos de IT infrafinanciados y una base de usuarios enorme y en constante rotación.

La temporada de regreso a clases intensifica esta presión. La creación masiva de cuentas, la inscripción masiva de dispositivos y la onboarding de aplicaciones de terceros ocurren simultáneamente, generando un mayor riesgo de configuraciones erróneas y de permisos de acceso excesivos. El gobierno del Reino Unido encontró que ninguna área del sector educativo tenía la mayoría de instituciones cumpliendo con todas las 10 medidas de Seguridad Cibernética del gobierno.

Solo el 14% de las escuelas primarias, el 23% de las secundarias, el 33% de los institutos de educación superior y el 45% de las instituciones de educación superior completaron las 10 medidas. A medida que entran al entorno ya inseguro miles de identidades y dispositivos nuevos, las brechas en los controles de seguridad pueden volverse más difíciles de identificar y gestionar.

La IA ha hecho que las amenazas de ciberseguridad sean significativamente más peligrosas. La misma encuesta gubernamental encontró que el phishing era la principal amenaza identificada por las instituciones que habían sufrido una brecha, y esos correos pueden ahora imitar con precisión comunicaciones de oficinas de becas, helpdesks de TI o autoridades universitarias, sin las señales de alerta tradicionales que antes facilitaban detectarlos.

La investigación de Keeper Security sobre IA y ciberseguridad en educación encontró que el 41% de las escuelas han experimentado incidentes cibernéticos relacionados con IA, incluyendo phishing y desinformación, mientras que el 90% de los líderes educativos expresaron preocupación por las amenazas cibernéticas relacionadas con IA. Sin embargo, solo una de cada cuatro respuestas se sentía muy confiada para reconocer amenazas habilitadas por IA, como deepfakes o phishing potenciado por IA.

A medida que la IA hace que los ataques de ingeniería social sean más convincentes, las instituciones educativas deben reforzar la concienciación humana con controles de identidad y acceso más sólidos que no dependan de que los usuarios identifiquen cada mensaje malicioso.

La superficie de ataque oculta: identidades no humanas en EdTech

Al comenzar el nuevo año académico, los equipos de TI deben enfocarse adecuadamente en asegurar las cuentas humanas, pero existe otra población mucho más grande de identidades digitales que puede escapar a la atención: las Identidades No Humanas (NHIs, por sus siglas en inglés).

Las NHIs están ahora integradas en entornos educativos modernos, desde cuentas de servicio que sincronizan expedientes estudiantiles con plataformas de aprendizaje hasta llaves API que conectan aplicaciones de terceros, libros digitales y sistemas de pago.

Las identidades de máquinas y certificados autentican todo, desde el Wi‑Fi del campus y pizarras inteligentes hasta equipos de laboratorio y cámaras de seguridad, mientras las cargas de trabajo en la nube automaticen copias de seguridad, canalización de investigación y procesos administrativos. Del mismo modo, agentes de IA que impulsan chatbots de admisiones, helpdesks y herramientas de evaluación añaden otra capa de identidades y privilegios de acceso que las instituciones deben gestionar.

Estas identidades son esenciales para mantener en funcionamiento a las escuelas y universidades, pero también pueden crear brechas de seguridad significativas cuando las credenciales rara vez se rotan, quedan tokens de integración antiguos activos o se otorga a cuentas automatizadas más acceso del necesario.

A diferencia de empleados y estudiantes, las NHIs no quedan cubiertas naturalmente por procesos de onboarding y offboarding. Sin un inventario completo, las organizaciones pueden batallar para saber qué identidades existen, quién las posee y a qué pueden acceder.

La conversación de ciberseguridad en la educación históricamente se ha centrado en proteger a estudiantes, docentes y administradores, pero las identidades de máquinas que impulsan EdTech moderno merecen el mismo escrutinio, porque, independientemente de si una brecha proviene de una persona o de una máquina, el impacto es el mismo.

La vuelta a clases es una ocasión útil para revisar el inventario completo de identidades, tanto humanas como no humanas, eliminar identidades que ya no son necesarias y endurecer el acceso para las que permanecen.

Cómo pueden las áreas de TI de educación reducir su riesgo

Para la mayoría de las instituciones, los fundamentos de gestionar a las personas son manejables. La brecha crítica es la visibilidad y gobernanza sobre las NHIs que dan soporte a EdTech moderno, como cuentas de servicio, llaves API, certificados de máquina y agentes de IA que se multiplican con cada nueva integración. Los equipos de seguridad deben seguir estos pasos para ayudar a asegurar NHIs y humanos por igual.

Habilitar la autenticación multifactor (MFA)

A medida que comienza el nuevo semestre, las organizaciones deben garantizar que MFA se aplique a todas las cuentas de docentes, personal y estudiantes, con nuevos usuarios incorporados por defecto desde el momento de la provisionamiento. MFA sigue siendo una defensa fundamental contra ataques basados en credenciales.

Auditar el acceso privilegiado

Muchas cuentas otorgan a los usuarios un acceso privilegiado más allá de lo necesario para su rol. Los privilegios deben auditarse tanto para humanos como para no humanos. Esto incluye retirar acceso a empleados y estudiantes que ya no están, dar de baja cuentas de servicio caducadas y eliminar privilegios administrativos innecesarios.

Desplegar administradores de contraseñas empresariales

La seguridad de contraseñas sigue siendo uno de los problemas más difíciles para los equipos de seguridad. La concienciación y la formación pueden proporcionar a estudiantes, docentes y personal el conocimiento para crear contraseñas robustas, pero convertir ese conocimiento en práctica es difícil debido a la reutilización de contraseñas, contraseñas escritas y almacenamiento en navegadores. Los administradores de contraseñas empresariales eliminan ese hueco, permitiendo a los usuarios crear y almacenar credenciales fuertes y únicas.

Construir un inventario de identidades no humanas

No puedes asegurar lo que no ves. Las escuelas deben catalogar cada cuenta de servicio, cada clave API, cada certificado de máquina, cada identidad en la nube y cada agente de IA. Establecer propiedad y registrar a qué puede acceder cada identidad.

Establecer políticas de rotación de credenciales

Es importante establecer políticas de rotación de credenciales para identidades de máquina, prestando especial atención a los agentes de IA y las integraciones de EdTech de terceros añadidas para el nuevo año escolar. El fallo de Canvas, reportado en abril de 2026, afectó a casi 9,000 instituciones educativas en todo el mundo, recordándonos que las credenciales de terceros requieren la misma disciplina de rotación que las cuentas internas.

El acceso de terceros debe revisarse regularmente y los equipos de seguridad deben escrutinar la seguridad de todos los socios y proveedores actuales y potenciales.

Actualización de la formación

La formación en seguridad debe adaptarse al panorama de amenazas, especialmente en phishing, donde los mensajes generados por IA pueden ser indistinguibles de comunicaciones institucionales legítimas. El personal debe verificar de forma independiente solicitudes inusuales en lugar de fiarse solo de las señales visuales.

Anticiparse a la vorágine

La vuelta a clases siempre ejercerá presión sobre los equipos de TI educativos, pero no tiene por qué convertirse en una ventana abierta para los atacantes. Al iniciar el nuevo año académico, la seguridad debe ir más allá de la incorporación de estudiantes y personal para entender cada identidad con acceso a sistemas y datos críticos.

Fortaleciendo una autenticación robusta, limitando el acceso privilegiado, mejorando la higiene de credenciales y obteniendo visibilidad sobre la creciente población de identidades no humanas, los equipos de TI pueden reducir significativamente su exposición.

La seguridad debe tratarse como una disciplina continua, no como una lista de verificación de inicio de curso. Es crucial que cada identidad humana y de máquina tenga el acceso correcto, para el propósito correcto y solo por el tiempo necesario.

Hemos destacado el mejor software antivirus.

Este artículo se produjo como parte de TechRadar Pro Perspectives, nuestro canal para presentar las mejores mentes de la industria tecnológica en la actualidad.

Las opiniones expresadas aquí son las del autor y no necesariamente las de TechRadarPro o Future plc. Si está interesado en contribuir, obtenga más información aquí: https://www.techradar.com/pro/perspectives-how-to-submit

Esta semana exploré la posibilidad de optar por no participar en el sistema de reconocimiento facial en mi supermercado Sainsbury’s local. La única solución apparentemente viable fue hacer las compras en otro lugar.

La expresión del guardia de seguridad al preguntar si podía evitar que sus datos biométricos fueran procesados indicaba una solicitud inusual, sorprendente si se considera que un cliente inocente fue marcado y expulsado del mismo establecimiento hace apenas unos meses.

Sainsbury’s no está solo en el uso de la tecnología de reconocimiento facial en tiempo real. Facewatch, la empresa detrás de la tecnología, lista a Sports Direct, Budgens, Costcutter y B&M como clientes en su sitio web. Paralelamente, un número creciente de fuerzas policiales en el Reino Unido están adoptando la tecnología, a pesar de desafíos legales persistentes.

Con la reconocimiento facial convirtiéndose rápidamente en un elemento habitual de la vida urbana británica, ¿qué riesgos implica para nuestra privacidad y vale la pena la mayor seguridad en el supermercado?

Vigilancia en el supermercado: escaneos antes de comprar

Uno de los principios más importantes de las leyes modernas de privacidad de datos —incluido el UK GDPR— es el derecho a ser informado cuando una organización recopila y procesa datos personales. Por eso vemos banners de cookies y políticas de privacidad en las apps, aunque a diferencia de estas, en la entrada del supermercado la notificación no solicita permiso; informa que el escaneo está en curso. Los minoristas argumentan que rastrear el delito es un “interés legítimo”, por lo que evitan la necesidad de consentimiento.

Durante mi visita a la tienda East Dulwich de Sainsbury’s, había un cartel pequeño junto a las puertas corredizas que casi paso por alto y otro más grande dentro de la tienda. Aunque los avisos aseguran que “su privacidad está protegida”, ofrecen pocos detalles sustantivos.

Para acceder a la información completa, tuve que escanear un código QR que llevada a la política de privacidad de Facewatch, algo que solo fue posible porque contaba con un teléfono móvil con datos en ese momento. No todos los clientes tienen esa posibilidad.

Para, al menos, reconocer su mérito, el guardia comentó que podría buscar al gerente para responder preguntas adicionales. Pero ya era demasiado tarde: al mirar las cámaras vigilando la entrada, tuve la certeza de que mi rostro ya había sido escaneado, analizado y comparado con una base de datos.

Quizá moverse a otro comercio sea sencillo en una gran ciudad, pero los supermercados constituyen una infraestructura nacional esencial. En zonas rurales o lugares donde no hay alternativas, decir a los clientes que elijan otra tienda no resulta una opción realista.

El costo de una coincidencia errónea

Las consecuencias de la identificación errónea no son meras teorías. Este verano, Matt Arnold fue acusado injustamente de robo y expulsado de la tienda East Dulwich. En una entrevista con la BBC, Arnold dijo: “Lo que me dolió fue pensar que esto es el futuro: la gente escucha lo que la máquina les dice sin analizar las posibles consecuencias”. Tras el incidente, el sistema fue pausado.

Aunque Sainsbury’s declinó comentar públicamente y remitió las consultas de privacidad de datos a Facewatch, la empresa confirmó a TechRadar que la pausa terminó y que las alertas en vivo se reanudaron. Con las cámaras nuevamente en funcionamiento, las preocupaciones sobre libertades civiles se reavivan.

Un grupo de derechos civiles británico, Big Brother Watch, interviene con regularidad para ayudar a que los compradores inocentes eliminen sus datos de la base de Facewatch tras ser señalados erróneamente, a veces sin suerte suficiente para volver a la normalidad en su área local.

Incluso con precisión total, persisten cuestionamientos sobre proporcionalidad y equidad.

Jasleen Chaggar, Oficial Legal y de Políticas en Big Brother Watch, advirtió que “los compradores están siendo sometidos a una seguridad de aeropuerto para comprar una pinta de leche”, señalando que el sistema es “indiscriminatorio por diseño, lo que significa que a todos se les trata con sospecha”.

¿A quién protege realmente la vigilancia en el supermercado?

No se puede negar que el hurto afecta las ganancias de los supermercados. Indicadores de la industria citados por Facewatch estiman pérdidas anuales por hurto de 2.2 mil millones de libras.

En un correo a TechRadar, un portavoz de Facewatch defendió la tecnología como una salvaguarda esencial, afirmando que “mientras los grupos de campaña destacan los derechos de los consumidores, están pasando por alto el derecho de los trabajadores a sentirse seguros en el trabajo”.

“Proporcionar a un trabajador una advertencia previa de que alguien con antecedentes de violencia ha entrado en la tienda puede darle confianza y tiempo para considerar una respuesta segura, desescalar una situación potencialmente peligrosa o buscar apoyo antes de que ocurra un incidente.”

Respecto a la accesibilidad y la notificación, la empresa afirmó que las cámaras de la tienda están posicionadas a una “distancia adecuada entre la entrada y el área de captura de imágenes” y que los carteles de entrada ofrecen un número de teléfono fijo y una dirección postal para quien no pueda escanear el código QR. En términos prácticos, eso significa que alguien sin teléfono inteligente debe salir, hacer una llamada o enviar una carta antes de hacer su compra semanal.

Los defensores de la privacidad digital siguen sin convencerse de que la protección del trabajador justifique el rastreo biométrico generalizado. Sarah Lasoye, gerente de programa en Open Rights Group, afirmó a TechRadar que la tecnología representa una “infracción peligrosa de nuestros datos, privacidad y derechos humanos”.

También cuestionó si la vigilancia aborda el verdadero problema, señalando que estas tecnologías caras solo benefician a las empresas tecnológicas privadas y no abordan las causas fundamentales de los delitos asociados a la pobreza, como necesidades sociales y económicas no satisfechas.

¿Cuál es el futuro del reconocimiento facial en el supermercado?

Sainsbury’s comenzó a probar el reconocimiento facial en septiembre de 2025 en solo dos tiendas. Tras una primera fase que supuestamente redujo casi a la mitad el hurto, el abuso verbal y el comportamiento antisocial, la cadena está en proceso de ampliar la tecnología a 200 tiendas para 2026.

Con líderes del mercado como Sainsbury’s respaldando públicamente la tecnología, otras cadenas seguirán de cerca su implementación.

Sin embargo, la expansión acelerada de esta vigilancia automatizada encuentra una resistencia creciente. Big Brother Watch ha lanzado una campaña para que los compradores se opongan, mientras una petición para pedir al Gobierno que detenga el reconocimiento facial ha superado las 41,000 firmas.

Curiosamente, Facewatch también se muestra a favor de la intervención. Un portavoz de la empresa indicó a TechRadar que Facewatch “apoya activamente regulaciones más estrictas sobre el desarrollo y uso de la tecnología, señalando que ha entablado conversaciones con el Home Office y espera que el Gobierno considere un estándar elevado de regulación para su uso por empresas privadas”.

Mientras los defensores de libertades civiles y las empresas de vigilancia esperan a que la legislación se ajuste, la responsabilidad de proteger la privacidad personal se mantiene en el individuo. Y hasta que existan mecanismos genuinos de opt-out, esa responsabilidad viene con una única opción. Como dejó claro el guardia de seguridad de Sainsbury’s: compras en otro lugar.