Defensa contra las filtraciones de datos en la era de los deepfakes
La educación superior se enfrenta a un entorno de amenazas cada vez más agresivo y coordinado. La reciente serie de filtraciones de datos en la Ivy League pone de relieve cómo los actores de amenazas están poniendo a prueba sistemáticamente a los establecimientos de élite. Ahora, a medida que la IA impulsa una mayor frecuencia y sofisticación en la ingeniería social (un método de ataque que manipula la psicología humana), las universidades se están convirtiendo en un objetivo cada vez mayor.
Este riesgo se ve agravado por la naturaleza misma de la educación superior. Las universidades están especialmente expuestas debido al volumen de datos confidenciales que gestionan. Desde registros de estudiantes e información de ayuda financiera hasta datos de nómina, archivos de donantes, bases de datos de exalumnos e investigaciones de vanguardia, las instituciones de educación superior representan un foco de gran valor para los ciberdelincuentes, que prosperan en entornos donde los flujos de trabajo basados en la confianza son la norma y el personal está al límite.
Cada vez más, los atacantes explotan a las personas en lugar de a los sistemas. Los actores de amenazas aprovechan los momentos de urgencia, recurren a la suplantación de identidad y aprovechan la suposición de que una solicitud de figuras de autoridad conocidas es legítima. Las investigaciones del Foro Económico Mundial indican que el fraude cibernético afecta ahora a la mayoría de los ejecutivos globales, y el phishing y la suplantación de identidad emergen como los métodos de ataque dominantes. A medida que los ataques de ingeniería social superan al ransomware como principal riesgo cibernético, las instituciones deben reevaluar sus prácticas de ciberseguridad.
Vulnerabilidades estructurales y operativas dentro de las universidades
Muchos de los riesgos que enfrenta la educación superior provienen de desafíos estructurales y organizativos de larga data más que de una falta de conciencia. Las universidades suelen operar en entornos de TI altamente descentralizados, con múltiples departamentos que administran sus propios sistemas, proveedores y flujos de datos. Si bien esta estructura apoya la autonomía académica, también crea controles de seguridad fragmentados y prácticas de verificación inconsistentes.
Estos entornos dependen en gran medida de la confianza, la velocidad y los flujos de trabajo informales. Esas condiciones son altamente vulnerables a la ingeniería social. Cuando la autoridad está descentralizada y los volúmenes de comunicación aumentan, los atacantes no necesitan violar los sistemas. Sólo necesitan explotar las suposiciones humanas.
La IA ha amplificado dramáticamente este riesgo. Los actores de amenazas ahora implementan técnicas de suplantación y clonación de voz hiperrealistas que son más difíciles que nunca de detectar y, a menudo, están cuidadosamente sincronizadas para explotar la presión operativa. Las universidades experimentan períodos predecibles de mayor actividad, como ciclos de decisión temprana y de admisión final. Estos momentos crean una tormenta perfecta de aumento de las comunicaciones, personal sobrecargado y menor tolerancia a las interrupciones.
Reducir el riesgo sin interrumpir las operaciones
Con la convergencia de los ciclos operativos pico y las tácticas avanzadas de suplantación de identidad, las universidades enfrentan un riesgo mayor. La buena noticia es que las instituciones no necesitan reformar sus operaciones para realizar cambios significativos. Incluso pequeños y consistentes ajustes de comportamiento pueden reducir significativamente la probabilidad de que un ataque tenga éxito.
Primero, nunca comparta información confidencial en el acto. Cualquiera responsable de datos personales o de propiedad debería actuar con mayor escepticismo. Los atacantes apuntarán a datos personales de estudiantes, profesores y proveedores, incluidos nombres, información de contacto, fechas de nacimiento, números de Seguro Social e incluso detalles de cuentas bancarias. Estos datos son una mina de oro para los actores de amenazas que pueden utilizarlos en ataques de ingeniería social como el robo de identidad y el fraude financiero. La naturaleza sensible de los datos de las universidades requiere que uno haga una pausa antes de compartir algo, independientemente de cuán legítima o urgente parezca una solicitud.