Ciberseguridad en universidades: de la protección tecnológica a la ciberresiliencia institucional

Por: Freddy Alvarado Vargas. Director de la Maestría en Gestión de Ciberseguridad y Privacidad de ESAN Graduate School of Business.

La transformación digital ha convertido a las universidades en organizaciones altamente dependientes de la tecnología, pero también en objetivos cada vez más atractivos para los ciberdelincuentes. La reciente alerta sobre el incremento de ataques contra escuelas, universidades y centros de investigación debería ser entendida no como un problema exclusivamente tecnológico, sino como un riesgo estratégico para la continuidad educativa y la reputación institucional.

Según Check Point Research, entre enero y julio de 2026 las organizaciones educativas enfrentaron un promedio de 4696 ciberataques semanales por organización, un 8% más que en el mismo periodo de 2025 y más del doble del promedio de todos los sectores, de 2150 ataques semanales. En julio, la cifra aumentó a 4848 ataques semanales, 14% más interanual.

La situación latinoamericana es aún más preocupante: el sector educativo registró 4299 ataques semanales por organización, con un crecimiento interanual de 42%, uno de los mayores incrementos regionales.

¿Por qué las universidades son tan atractivas?

Una universidad concentra una combinación particularmente valiosa para los atacantes: miles de usuarios, información personal, datos financieros, investigaciones, propiedad intelectual, credenciales y numerosos sistemas conectados a proveedores externos.

Además, la expansión de plataformas cloud, aulas virtuales, herramientas colaborativas y dispositivos personales ha ampliado significativamente la superficie de ataque.

Los ciberdelincuentes también están profesionalizando sus campañas. En julio se identificaron 18954 nuevos dominios relacionados con educación, y aproximadamente uno de cada 226 fue clasificado como malicioso.

El phishing continúa siendo una de las principales puertas de entrada. En consecuencia, el problema ya no consiste únicamente en proteger servidores: hay que proteger identidades, datos, personas, procesos y ecosistemas digitales completos.

El ransomware confirma la gravedad del problema

La amenaza no termina con el robo de credenciales. El ransomware continúa representando un riesgo crítico. Check Point reportó 2139 víctimas de ransomware publicadas durante el segundo trimestre de 2026, 33% más que en el mismo trimestre de 2025; educación representó aproximadamente el 4% de las víctimas.

Además, la investigación de IBM estima que el costo promedio mundial de una filtración de datos alcanzó US$4.4 millones en 2025.

¿Qué deberían hacer las universidades?

La respuesta debería estructurarse en seis prioridades:

1. Proteger la identidad: MFA, Zero Trust, mínimo privilegio y gestión rigurosa del ciclo de vida de las cuentas.

2. Fortalecer el factor humano: capacitación continua, simulaciones de phishing y formación diferenciada para estudiantes, docentes, administrativos y directivos.

3. Proteger los datos críticos: clasificación, cifrado, DLP, backups inmutables y controles de acceso.

4. Detectar y responder rápidamente: EDR/XDR, monitoreo continuo, inteligencia de amenazas y ejercicios de respuesta a incidentes.

5. Gestionar la cadena de suministro: evaluar proveedores, servicios cloud, software académico y terceros que tengan acceso a información institucional.

6. Prepararse para la interrupción: desarrollar y probar planes de continuidad y recuperación ante desastres. Una universidad debe poder continuar sus actividades incluso cuando sus sistemas tecnológicos estén comprometidos.

Pero existe una séptima prioridad, quizá la más importante:

Llevar la ciberseguridad al Consejo y al gobierno universitario.

La pregunta que debe hacerse un rector, consejo universitario o directorio ya no es:

“¿Cuánto estamos invirtiendo en ciberseguridad?”

sino:

“¿Podemos garantizar la continuidad de nuestra institución si mañana sufrimos un ciberataque grave?”

La universidad del futuro no será simplemente digital. Tendrá que ser digital, segura y ciberresiliente.

Y esa responsabilidad ya no pertenece únicamente al área de TI: es responsabilidad de toda la organización y, especialmente, de su gobierno.

Referencias: Check Point Research (2026), Back-to-School Cyber Risks Surge as Education Remains the World’s Most Attacked Sector; Check Point Research (2026), The State of Ransomware Q2 2026; IBM (2025), Cost of a Data Breach Report.