El ataque cibernético sigue el calendario escolar.
La alerta conjunta de CISA, FBI y MS-ISAC que se convirtió en referencia sobre el tema registró el patrón: en agosto y septiembre, el 57% de los incidentes de ransomware reportados al MS-ISAC involucraban escuelas K-12, contra 28% de enero a julio. El regreso a clases abre puertas: redes recién configuradas, dispositivos nuevos distribuidos a las apuradas y equipos de TI reducidos y sobrecargados.
El mapa de 2026: el objetivo se mueve, y Brasil va contra la corriente
El mapa actual muestra un objetivo en movimiento. En el primer semestre, los ataques a escuelas K-12 cayeron 26% en el mundo, según el estudio de Comparitech, y subieron más de 8% en la educación superior.
En Brasil, el sector educativo registró 8 ataques divulgados en el semestre, un alza de 33%, en un período en que el número global caía. El país quedó fuera de la lista de campañas de espionaje en América Latina, pero en el mapa del ransomware educativo la marea local sube mientras la global retrocede: el atacante va donde la defensa es más débil, y la debilidad aquí tiene dirección.
El perfil del objetivo: el peor de los mundos reunido
Las redes educativas concentran la combinación que el ransomware busca:
- El dato más vitalicio: datos de menores, protegidos por el interés superior y que, filtrados, no vuelven nunca. Nombre, documento, dirección y notas siguen circulando con la escuela pague o no.
- El presupuesto más ajustado: la seguridad compite con la alimentación, los materiales y los salarios.
- La TI más frágil: tercerizada, compartida o inexistente.
- El backup más vulnerable: dentro del alcance del atacante, montado en la red administrativa.
Cada ítem, aislado, es administrable. Juntos, son la definición de objetivo preferencial.
El patrón de auditoría que se repite
En las auditorías que hago, el patrón en las redes educativas repite lo que veo en el mercado: hipervisor sin MFA, backup accesible desde la red administrativa y plan de respuesta que nunca fue probado.
Es el mismo trípode que el ransomware de hipervisor explota en el sector privado, con una diferencia de escala: tumbar el hipervisor de una escuela tumba matrícula, notas y alimentación escolar el mismo día. La operación de toda la institución depende de la capa que casi nadie vigila, y la temporada de regreso a clases es cuando queda más expuesta.
Brasil regulando mientras la temporada se acerca
La respuesta regulatoria brasileña ya existe: la LGPD trata los datos de niños y adolescentes bajo el interés superior, y la ANPD colocó la protección de niños y adolescentes, con el ECA Digital, como eje prioritario de fiscalización 2026-2027. El precedente de sanción es público y tiene número: 153,7 millones de reales por dato de adolescente.
Y el calendario juega a favor de la preparación: la temporada de regreso a clases ya pasó del otro lado del mundo; la nuestra empieza en febrero. Son meses de ventana para aplicar MFA, separar el backup, minimizar el dato del menor y escribir el plan. En febrero, el atacante también vuelve a clases.
Conclusión
Quien se encarga de una red educativa debería tratar la seguridad como parte del plan de estudios: no es un extra sobre la misión de la escuela, es la condición para que la misión siga funcionando el lunes siguiente al ataque.
Las medidas que cierran el trípode (MFA, backup fuera de alcance, plan probado) no exigen presupuesto nuevo, exigen decisión. Y el calendario educativo es público de nuestro lado y del lado del atacante: la pregunta de octubre es si febrero encuentra la red preparada o recién configurada a las apuradas otra vez.