A medida que los estudiantes de todo el país regresan a los campus para el inicio de un nuevo curso académico, los responsables se preparan para hacer frente a una tendencia preocupante: el aumento de los ataques de ransomware que se están extendiendo por el sector educativo.
En junio, por ejemplo, la red de los centros de formación profesional de Hawái fue víctima de un ataque de ransomware de tipo « » perpetrado por un atacante no identificado, que puso en peligro la información personal de 28,000 personas. Cuatro meses antes, el Gaston College, en Carolina del Norte, sufrió un ataque de ransomware; posteriormente, el grupo de ransomware Snatch reivindicó la autoría y filtró datos personales de sus bases de datos, incluidos los números de la Seguridad Social, y los publicó en la dark web. Este ataque provocó la interrupción del funcionamiento de diversos sistemas destinados al personal docente y al alumnado, y dejó fuera de servicio la red Wi-Fi del campus durante varias semanas.
Entre enero y junio, más de 120 centros educativos —tanto de educación primaria, secundaria y bachillerato como de educación superior— sufrieron ataques de ransomware, lo que supone un aumento significativo con respecto a los 188 incidentes totales registrados en 2022, según un informe reciente de la Federación Global de Resiliencia ( , GRF) titulado «» ( ). Este aumento hizo que el sector educativo pasara del puesto n.º 7 al n.º 6 en la clasificación de GRF sobre el número total de ataques por sector, en comparación con el periodo de referencia anterior.
Tras haber analizado estas tendencias, el Gobierno de los Estados Unidos está poniendo en marcha lo que parece ser una ofensiva a gran escala para abordar el problema. En los últimos meses, la Oficina de Seguridad Cibernética de la Casa Blanca ( ), la Oficina Federal de Investigación (FBI), el Departamento de Educación (DOE) y otros organismos han publicado una serie de planes, estrategias y guías para ayudar a formar a los educadores en materia de ciberseguridad y buenas prácticas.
Pero, ¿están haciendo caso a la llamada? O, para ir al grano, ¿la han escuchado siquiera?
«Desde hace tiempo considero que al Gobierno le resultaría beneficioso crear el cargo de director de marketing para dar a conocer de forma más eficaz la increíble labor que lleva a cabo», afirma Parham Eftekhari, fundador y presidente del Instituto de Tecnología de Infraestructuras Críticas (ICIT). Sostiene que el enorme volumen de recursos que genera el Gobierno se ve lastrado por unas estrategias de marketing y comunicación limitadas. «Para las partes interesadas de cualquier sector resulta complicado tener una visión completa de los materiales orientativos disponibles», afirma.
Esto tiene que cambiar, afirman los expertos en ciberseguridad. El sector educativo es un objetivo demasiado tentador, y los ciberdelincuentes no pierden el tiempo a la hora de exprimir a los centros educativos para obtener hasta el último gigabyte de datos que puedan.
Por qué las bandas cibernéticas atacan a los centros educativos —y cuándo—
El impacto « » de los ataques de ransomware en los centros educativos es considerable. Según el informe « » de la Oficina de Responsabilidad Gubernamental de los Estados Unidos (GAO), la pérdida de aprendizaje tras un ciberataque osciló entre tres días y tres semanas, la recuperación total tras el incidente tardó hasta nueve meses y las pérdidas económicas de los centros educativos oscilaron entre 50,000 y 1 millón de dólares.
«El sector educativo es un objetivo atractivo por varias razones, pero la principal es la rentabilidad relativamente alta de la inversión, dada la enorme cantidad de datos de los alumnos que se pueden vender», afirma Doug Thompson, arquitecto jefe de educación de la empresa de software de ciberseguridad Tanium (editora de esta revista). El momento oportuno, añade, es otro factor.
Si bien puede resultar difícil predecir cuál es el periodo más vulnerable de una empresa —ya que ello requiere un conocimi e del funcionamiento interno de la misma y del sector en su conjunto—, los centros educativos siguen unos calendarios fijos. «Los ataques suelen producirse al inicio del curso escolar y al comienzo del semestre de primavera, cuando llegan al campus un gran número de nuevos estudiantes, se producen cambios en el profesorado y el personal de TI existente se ve desbordado con tareas rutinarias, como el restablecimiento de contraseñas y el mantenimiento básico de los sistemas», afirma Thompson.
Este aumento de los ataques de ransomware también ha tenido un impacto en las primas de los seguros cibernéticos , que se incrementaron nada menos que un 51 %, según un informe de Fitch Ratings . Thompson aconseja a las instituciones educativas que recurran en mayor medida ay que inviertan en personal, herramientas y recursos distintos de los seguros cibernéticos para hacer frente a esta tendencia. «Hemos empezado a observar un cambio de paradigma forzado que se aleja de este modelo, debido a la creciente gravedad del aumento de los costes de los seguros cibernéticos, unida a la transición de la cifración maliciosa al robo directo de datos por parte de los actores maliciosos», afirma.
A la cabeza de estas amenazas al sector educativo se encuentra Vice Society, un grupo de ransomware más conocido por sus ataques de extorsión contra los sectores sanitario y manufacturero. Según un informe conjunto titulado « » ( ), publicado el pasado otoño por el FBI, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) y el Centro Multiestatal de Intercambio y Análisis de Información, Vice Society orquestó 21 ataques de ransomware contra el sector educativo en el segundo semestre de 2022 y 15 incidentes en el primer semestre de 2023. Justo detrás de Vice Society se sitúa LockBit 3.0, un grupo de ransomware responsable de 13 incidentes en el primer semestre de 2022 y de 25 incidentes en el primer semestre de 2023. El informe señala que el grupo de ransomware Cl0p (relacionado recientemente con la filtración de datos de MOVEit en ) también experimentó un fuerte aumento en el primer semestre de este año, con 13 incidentes.
Los planes federales y estatales ayudan al sector educativo a hacer frente a los riesgos cibernéticos
Ante el aumento de los ataques de ransomware, el informe de GRF subraya la necesidad de contar con defensas sólidas, políticas proactivas y una colaboración a nivel sectorial.
«. Para las partes interesadas de cualquier sector resulta complicado tener una visión completa de los materiales de orientación disponibles.»Parham Eftekhari, fundador y presidente del Instituto de Tecnología de Infraestructuras Críticas
En julio, la Casa Blanca publicó su « » (Plan de aplicación de la Estrategia Nacional de Ciberseguridad), en el que se identificaban las infraestructuras críticas del país como su primer pilar de defensa y se hacía hincapié en la necesidad de reforzar la seguridad nacional y la seguridad pública. En él se aboga por la estandarización de la ciberseguridad en estos sectores esenciales y se señalan las inversiones en colaboración y en el desarrollo del personal especializado en ciberseguridad como medidas fundamentales para proteger las infraestructuras críticas del país.
Con el objetivo de reforzar las defensas de ciberseguridad de los sistemas escolares de educación primaria y secundaria del país, la Administración Biden anunció en agosto una serie de medidas estratégicas y compromisos en materia de recursos. Al frente de esta iniciativa, la presidenta de la Comisión Federal de Comunicaciones, Jessica Rosenworcel, propuso un programa piloto en el marco del Fondo de Servicio Universal cuyo objetivo es destinar hasta 200 millones de dólares a lo largo de tres años a la ciberseguridad en los centros educativos de primaria y secundaria y en las bibliotecas.
Con el fin de garantizar una coordinación eficaz entre los responsables de educación a nivel federal, estatal, local, tribal y territorial, el Departamento de Educación (DOE) también tiene previsto crear un Consejo de Coordinación Gubernamental. Según el Departamento de Educación (DOE), el GCC liderará los esfuerzos para reforzar la resiliencia en materia de ciberseguridad de los centros de enseñanza primaria y secundaria, facilitando la comunicación, la formulación de políticas y las actividades de colaboración.
Además, el DOE y la CISA han publicado conjuntamente materiales de orientación exhaustivos y se han comprometido a realizar evaluaciones personalizadas, llevar a cabo simulacros de ciberseguridad e impartir formación en ciberseguridad a 300 nuevas entidades de educación primaria y secundaria durante el próximo curso escolar. El FBI y la Oficina de la Guardia Nacional también están contribuyendo a esta iniciativa mediante la actualización de guías de recursos, con el fin de garantizar que los funcionarios estatales dispongan de los recursos necesarios para notificar incidentes de ciberseguridad y aprovechar de manera eficaz las capacidades federales de ciberdefensa.
El refuerzo de la seguridad en los centros educativos comienza aquí
Es posible que algunas de estas iniciativas gubernamentales se vean impulsadas, en parte, por un preocupante informe de la GAO titulado « » (La gestión de la información en el Gobierno de los Estados Unidos), , publicado el año pasado, en el que este organismo de control puso de manifiesto una importante brecha en las comunicaciones. «No existen canales formales que regulen la coordinación entre los organismos, ni con los centros de educación primaria y secundaria, para hacer frente a los riesgos o incidentes de ciberseguridad», señala el informe. La GAO presentó una serie de recomendaciones para mejorar la forma en que los organismos coordinan la asistencia en materia de ciberseguridad.
«. Los ataques suelen producirse al comienzo del curso escolar y al inicio del semestre de primavera, cuando llegan al campus un gran número de nuevos estudiantes.»Doug Thompson, arquitecto jefe de formación de Tanium
Otro obstáculo, menos comentado pero no por ello menos importante, es la receptividad de los responsables escolares ante lo que debe parecerles una avalancha de información nueva y compleja. A pesar de su enorme importancia, las directrices que publican los organismos gubernamentales pueden resultar abrumadoras para algunas personas, como reconoce el Sr. Eftekhari, del ICIT.
No obstante, existen algunas medidas iniciales relativamente sencillas que incluso los responsables con menos conocimientos informáticos pueden adoptar para reforzar las defensas de los centros educativos. Empiece por estos cuatro:
1. Manténgase al tanto de las novedades
Los docentes deberían suscribirse a las alertas de organismos como el Instituto Nacional de Estándares y Tecnología (NIST), la CISA, el DOE y el ICIT para diversificar sus canales de información, afirma Eftekhari. Asimismo, sugiere configurar alertas de Google para palabras clave relevantes, como «ciberseguridad en el sector educativo» y «directrices federales para formadores en ciberseguridad», con el fin de mantenerse al día de las últimas noticias e información.
2. Fomente el interés por la ciberseguridad desde una edad temprana
Los educadores deberían plantearse cómo el plan de estudios y las actividades extraescolares pueden despertar el interés y el entusiasmo por las carreras profesionales relacionadas con las ciencias y las matemáticas, afirma Eftekhari. «Si bien la CISA, el NIST, el Ministerio de Educación y otros organismos han apoyado y seguirán apoyando programas relacionados con la formación en ciberseguridad y el desarrollo de la mano de obra, existe una sensación de urgencia por parte de los educadores para innovar y dar paso a una nueva era del aprendizaje digital».
3. Invierta en algo más que simples dispositivos
Con demasiada frecuencia, los centros educativos se centran exclusivamente en dotar a las aulas de un número X de ordenadores para facilitar el aprendizaje de los alumnos, señala Thompson, de Tanium. «La tecnología en el aula, si no va acompañada de las medidas de seguridad adecuadas, resulta más peligrosa que la falta de dispositivos», afirma.
Entonces, ¿cómo pueden permitirse las escuelas con presupuestos limitados las costosas plataformas de ciberseguridad y el personal informático? Comparten.
En lo que ya se ha convertido en una tendencia al alza, muchos ayuntamientos y distritos escolares de educación primaria y secundaria están adoptando una solución «» (de la escuela a la escuela) a nivel estatal, uniéndose y poniendo en común sus recursos. Este enfoque anima a las comunidades autónomas a prestar apoyo a la gestión de la ciberseguridad de los organismos locales de menor tamaño, los centros educativos y las entidades tribales, ofreciéndoles herramientas preaprobadas, información sobre amenazas y mecanismos seguros de notificación, formación o financiación, con el fin de reforzar las ciberdefensas.
[Véase también: Guía práctica para elaborar una estrategia de ciberseguridad a escala estatal]
4. Confíe en los expertos
Póngase en contacto con un agente local del FBI y con la CISA regional para obtener más asesoramiento sobre por dónde empezar a reforzar las defensas de ciberseguridad del centro educativo, añade Eftekhari. Se puede encontrar más información especializada en asociaciones como la Asociación Nacional de Condados y la Asociación de Administración Escolar.
Los docentes también deberían buscar una delegación local de alguna organización dedicada a la ciberseguridad —como InfraGard, los Foros de Colaboración en Ciberseguridad, ISACA o ISC2, por citar solo algunas— y averiguar qué recursos y apoyo pueden ofrecerles. Al igual que los alumnos, que en un principio pueden mostrarse reticentes a la hora de explorar actividades extraescolares, los responsables del centro comprobarán que estas iniciativas de acercamiento merecen la pena, aconseja Eftekhari.
«La comunidad de ciberseguridad es una red de profesionales acogedora y orientada al espíritu de comunidad», afirma. «Casi siempre están dispuestos a dedicar tiempo a apoyar nuestra misión común de resiliencia y seguridad nacional».
