Miguel Tena, Field Sales Engineer, Object First
La transformación digital en la educación superior ya no se limita a trasladar las clases a internet o a utilizar libros electrónicos; la tecnología está redefiniendo el funcionamiento de las instituciones. Las universidades y otros centros de educación superior recurren a los datos, la nube y la inteligencia artificial para diseñar experiencias más personalizadas, eficientes y alineadas con los objetivos individuales del alumnado y con las demandas actuales del mercado laboral.
Pero imaginemos que todos los servidores de copias de seguridad y dispositivos de almacenamiento de un centro educativo no estuvieran simplemente fuera de línea o cifrados; sino que fueran totalmente inaccesibles… a menos que se pagara un rescate.
En agosto de 2024, la Universidad Pontificia de Salamanca sufrió un ataque de ransomware que afectó a la disponibilidad de la información almacenada, incluidos los datos personales de los estudiantes. El incidente pone de relieve la creciente amenaza cibernética a la que se enfrentan las instituciones de educación superior.
Según el Índice de Madurez en Ciberseguridad de 2025, el 68% de las universidades españolas sufrió un ciberataque o un ciberincidente durante el año anterior. Además, el 32%sufrió entre dos y cinco ataques, mientras que el 18% sufrió más de cinco.
Esta es la nueva realidad del ransomware dirigido contra las copias de seguridad. Los ciberdelincuentes han descubierto que atacar los sistemas de recuperación resulta considerablemente más eficaz que atacar los datos primarios.
La evolución táctica
¿Qué convierte a los centros educativos en campos de pruebas tan atractivos? Enormes volúmenes de datos, presupuestos de seguridad limitados y una cultura institucional que trata los sistemas de copia de seguridad como una póliza de seguro. Es algo que se espera no tener que utilizar nunca.
Los tiempos del malware de cifrado indiscriminado han quedado atrás. Los atacantes actuales lanzan golpes selectivos contra la infraestructura de recuperación. Los operadores de ransomware están desplegando tácticas diseñadas específicamente para eludir las protecciones de las copias de seguridad en distintos niveles de la cadena de ataque como el reconocimiento, la intrusión y las acciones posteriores al compromiso del sistema.La toma de control de hosts virtuales aprovecha configuraciones incorrectas de los hipervisores para hacerse con entornos virtualizados completos, incluidos repositorios de copias de seguridad que los administradores creían aislados. Los ataques contra Active Directory pueden proporcionar acceso a toda la red y comprometer las credenciales del software de copia de seguridad en múltiples sistemas. Incluso los entornos completamente parcheados siguen siendo vulnerables a explotaciones de servicios del sistema operativo dirigidas específicamente contra aplicaciones de copia de seguridad.
Los sistemas tradicionales de copia de seguridad parten de una premisa fundamentalmente errónea. Y es que el cifrado de los datos de respaldo, los permisos y los controles de acceso pueden proteger la información de recuperación frente a atacantes sofisticados. Es como defender la cámara acorazada de un banco permitiendo la entrada únicamente a quienes llevan una acreditación, cuando sabemos que las acreditaciones pueden falsificarse. Los atacantes de ransomware modernos roban las llaves en lugar de derribar las puertas y, después, cambian las cerraduras.
Los sistemas tradicionales de almacenamiento en bloques y archivos carecen de las tecnologías de inmutabilidad nativa necesarias para reforzar de verdad los datos de las copias de seguridad y dependen, en cambio, de soluciones propietarias añadidas a posteriori. Esta diferencia técnica importa más de lo que muchos responsables de seguridad de la información creen. La distancia entre la inmutabilidad nativa y la protección incorporada a posteriori es la misma que existe entre la seguridad basada en la arquitectura y los controles basados en políticas; y los atacantes sofisticados saben exactamente cómo explotar esa brecha.
La trampa de los recursos y el cumplimiento normativo
El aspecto más insidioso de este apocalipsis de las copias de seguridad es que los marcos de cumplimiento normativo han contribuido, en realidad, a agravar el problema. Las regulaciones de todo el mundo exigen procedimientos de protección y copia de seguridad delos datos, pero están optimizadas para un modelo de amenaza equivocado. En las instituciones de educación superior, el cumplimiento normativo puede convertirse en un problema sistémico debido a una combinación de factores culturales y estructurales, entre ellos la falta de recursos y de tiempo. Cuando ambos escasean, el personal educativo tiende a adoptar un enfoque reactivo en lugar de preventivo.
Esta mentalidad de “marcar casillas” crea puntos ciegos peligrosos que los operadores de ransomware explotan de forma sistemática. Organizaciones de todo el mundo confunden frecuentemente cumplimiento normativo y seguridad, lo que da lugar a sistemas capaces de superar una auditoría, pero incapaces de resistir un ataque. La limitación de recursos agrava aún más la situación. Como ocurre en muchas organizaciones financiadas con fondos públicos, el sector educativo no dispone siempre del presupuesto, el tiempo o la experiencia necesarios para contar con tecnología y políticas de ciberseguridad de primer nivel. A menudo, los responsables solo pueden dedicar capacidad suficiente a tratar la seguridad como una lista de requisitos regulatorios y de cumplimiento, en lugar de asumirla como una necesidad estratégica para garantizar la resiliencia a largo plazo.
Muchas administraciones educativas no disponen de recursos suficientes, especialmente cuando su seguridad tradicional de las copias de respaldo depende de controles administrativos que los ataques sofisticados eluden de forma habitual. La verdadera protección exige una inmutabilidad arquitectónica aplicada a nivel de protocolo.
La paradoja es universal. Mientras los equipos de seguridad de todo el mundo se concentran en evitar las intrusiones, los atacantes han desplazado su objetivo hacia las capacidades de recuperación. En un mundo en el que casi todos los ataques de ransomware se dirigen contra la infraestructura de copias de seguridad, los enfoques tradicionales de protección de datos no solo resultan insuficientes; sino que además generan oportunidades para que los atacantes perfeccionen sus métodos.