Un panorama actualizado sobre los principales riesgos cibernéticos que enfrentan las universidades en 2025, sus impactos y las estrategias adoptadas para mitigarlos.

Un panorama de amenazas en evolución

En 2025, el sector educativo continúa consolidándose como uno de los más atacados a nivel global. La creciente dependencia de plataformas digitales, inteligencia artificial y almacenamiento en la nube ha incrementado la exposición de las universidades a riesgos cibernéticos complejos.

El Informe Global de Riesgos 2025 del World Economic Forum (WEF) posiciona los ciberataques y la pérdida de datos entre las cinco mayores amenazas para las organizaciones públicas y privadas en el corto plazo. En el ámbito educativo, estos incidentes comprometen no solo la continuidad académica, sino también la confianza institucional.

Según el European Union Agency for Cybersecurity (ENISA, 2024), las universidades registraron un aumento del 38 % en ataques de ransomware y un 52 % en intentos de phishing dirigidos a personal administrativo y estudiantes durante el último año. La investigación académica, los expedientes estudiantiles y los datos financieros se mantienen entre los objetivos más codiciados.

Principales hallazgos del análisis de riesgos 2025

Los resultados de los análisis de riesgo en ciberseguridad realizados por diferentes organismos y universidades durante 2024 y comienzos de 2025 permiten identificar cinco áreas críticas que requieren atención inmediata:

1. Amenazas internas y errores humanos

De acuerdo con Verizon Data Breach Investigations Report (DBIR, 2024), el 82 % de las brechas de seguridad involucra un error humano, como contraseñas débiles, clics en enlaces fraudulentos o uso inadecuado de dispositivos personales.
En el contexto universitario, esto se agrava por la alta rotación de usuarios y el acceso simultáneo a múltiples sistemas.

2. Ransomware como principal amenaza operativa

El ransomware continúa siendo el riesgo más costoso y disruptivo. ENISA reporta que los grupos criminales están usando modelos de extorsión doble y triple (robo, cifrado y publicación de datos) para presionar el pago.
Casos recientes como el de la University of Michigan (2024) y la University of Sydney (2025) muestran cómo un ataque puede paralizar servicios académicos y comprometer información sensible de miles de estudiantes.

3. Inteligencia artificial y deepfakes académicos

El IBM X-Force Threat Intelligence Index (2025) advierte que la IA está siendo utilizada para generar correos falsos, suplantaciones de identidad de docentes y hasta solicitudes fraudulentas de transferencia de fondos.
Los deepfakes y el uso de modelos generativos sin control se convierten en nuevas amenazas que afectan la reputación institucional y la integridad académica.

4. Riesgos en la nube y pérdida de control de datos

El 68 % de las universidades utiliza plataformas en la nube para almacenar datos sensibles, pero solo el 41 % tiene controles de seguridad configurados correctamente (Check Point Cloud Security Report, 2024).
Las configuraciones erróneas y la falta de segmentación de redes son las principales causas de exposición accidental de información.

5. Ataques a la infraestructura crítica universitaria

Los sistemas de climatización, cámaras de seguridad y laboratorios conectados al internet (IoT) representan nuevos vectores de ataque.
El Cybersecurity and Infrastructure Security Agency (CISA, 2024) advierte que los campus universitarios deben tratar estos sistemas como parte integral de su superficie de riesgo, no como elementos aislados.

Impacto institucional y económico

El IBM Cost of a Data Breach Report (2024) estima que el costo promedio de una brecha en el sector educativo supera los 4,4 millones de dólares, cifra que incluye recuperación de datos, pérdida de reputación y suspensión de servicios académicos.

Más allá del impacto económico, los ciberataques generan una pérdida de confianza en la comunidad universitaria. La filtración de calificaciones, datos financieros o investigaciones científicas puede afectar años de trabajo y comprometer alianzas internacionales.

En Colombia, el MinTIC (2024) identificó un incremento del 47 % en incidentes de ciberseguridad en instituciones educativas públicas, destacando la necesidad de fortalecer sus análisis de riesgos, la segmentación de redes y los mecanismos de respaldo.

Estrategias y buenas prácticas derivadas del análisis

A partir de los resultados más recientes, las universidades están adoptando modelos de gestión de riesgos cibernéticos más maduros y adaptativos, basados en estándares internacionales como ISO/IEC 27005:2022 y el marco NIST Cybersecurity Framework (2024).

Las principales acciones recomendadas incluyen:

• Monitoreo continuo con tecnologías SIEM y XDR.
• Evaluaciones trimestrales de riesgo con indicadores medibles.
• Políticas de mínimo privilegio y gestión centralizada de accesos.
• Simulacros de respuesta a incidentes que involucren a toda la comunidad académica.
• Campañas de concientización digital para estudiantes y docentes.

De acuerdo con ISACA (2023), las universidades que combinan análisis técnico con formación humana logran reducir hasta en un 50 % la ocurrencia de incidentes prevenibles.

Caso destacado: Universidad de Oxford, 2024

La Universidad de Oxford publicó en diciembre de 2024 su Annual Cyber Risk Report, donde reveló que su principal vulnerabilidad provenía de accesos externos no controlados a sus plataformas de investigación.
Tras implementar controles de autenticación multifactor, revisión de proveedores en la nube y un sistema de detección de anomalías basado en inteligencia artificial, redujo en un 67 % los intentos de intrusión en menos de seis meses.

Este caso demuestra cómo un análisis de riesgos bien ejecutado permite transformar los hallazgos en acciones concretas de mejora continua.

El análisis de riesgos de ciberseguridad es mucho más que un requisito normativo: es una herramienta estratégica que permite a las universidades conocer su verdadero nivel de exposición y priorizar inversiones en protección digital.

Los resultados de 2025 muestran que las amenazas evolucionan más rápido que las defensas, pero también evidencian que las instituciones que aplican metodologías de gestión de riesgo, automatización y formación en ciberhigiene logran mantenerse un paso adelante.

La clave está en convertir los resultados del análisis en decisiones: fortalecer las políticas, actualizar los controles y crear una cultura universitaria resiliente frente al riesgo digital.

Referencias

ENISA. (2023). Threat Landscape for Education 2023. European Union Agency for Cybersecurity. https://www.enisa.europa.eu/sites/default/files/publications/ENISA%20Threat%20Landscape%202023.pdf

IBM Security. (2024). Cost of a Data Breach Report 2024. IBM Corporation. https://www.ibm.com/think/insights/cost-of-a-data-breach-2024-financial-industry

World Economic Forum. (2025). Global Risks Report 2025. https://reports.weforum.org/docs/WEF_Global_Risks_Report_2025.pdf

Verizon. (2024). Data Breach Investigations Report (DBIR) 2024. https://www.verizon.com/business/resources/reports/2024-dbir-data-breach-investigations-report.pdf

CISA. (2024). Cybersecurity Best Practices for Education and Research Networks. Cybersecurity and Infrastructure Security Agency. https://industrialcyber.co/cisa/cisas-2024-year-in-review-document-details-cyber-defense-infrastructure-protection-milestones/

Check Point Research. (2024). Cloud Security Report 2024. Check Point Software Technologies. https://www.tenable.com/cyber-exposure/tenable-cloud-risk-report-2024?utm_campaign=gs-{17220491463}-{165395716931}-{693017589789}_00032473_fy25&utm_promoter=tenable-cloud-00032473&utm_source=google&utm_term=cloud%20infrastructure%20security&utm_medium=cpc&utm_geo=latam&gad_source=1&gad_campaignid=17220491463&gbraid=0AAAAAoZTPtzEuiuDNqdnTLu5-DjkVLV1c&gclid=EAIaIQobChMIlqqkpNSmkAMV_aBaBR20Bj2BEAAYAiABEgKf0vD_BwE

MinTIC. (2024). Estrategia Nacional de Ciberseguridad 2024–2027. Ministerio TIC de Colombia. https://www.mintic.gov.co/portal/715/articles-334120_recurso_1.pdf