Por qué la IA se está convirtiendo en la nueva defensa de la educación superior contra la batalla por el acceso de usuarios y credenciales

Los ciberdelincuentes han subido de nivel, y la educación superior está ahora directamente en su punto de mira.

Durante años, los distritos K‑12 absorbieron lo peor. Cuando la pandemia obligó al aprendizaje remoto de la noche a la mañana, los sistemas escolares que nunca lo habían planificado quedaron expuestos. La educación superior parecía comparativamente segura: los campus ya contaban con departamentos de TI maduros, tenían presupuesto para herramientas de seguridad y habían estado operando sistemas digitales y aprendizaje en línea durante una década o más antes de que llegara COVID. Esa brecha se está cerrando rápidamente. El “fruto bajo” a nivel K‑12 ya ha sido mayormente cosechado, y los atacantes ahora dirigen su atención a colegios y universidades con las mismas herramientas impulsadas por IA que hicieron de K‑12 un objetivo tan fácil.

La magnitud ya aparece en los titulares. Solo este mes, se robó información personal de al menos 137 000 cuentas de personal escolar en una brecha que afectó a Glendale Community College, Moody Bible Institute, Illinois Central College y Houston City College. Los firewalls y las herramientas perimetrales siguen siendo importantes, pero nunca fueron diseñados para detener lo que está ocurriendo ahora: IA que permite a los atacantes suplantar al personal y a los estudiantes a gran escala, lo suficientemente bien como para eludir los controles en los que las instituciones han confiado durante años. El robo de credenciales y la toma de control de cuentas ya no son casos aislados. Son la superficie de ataque principal, y defenderla se ha convertido en el desafío central de ciberseguridad en la educación superior para 2026.

The Other Side of the Problem: Ghost Students

Las credenciales robadas del personal reciben la mayor parte de la atención, pero son solo la mitad de la historia. La otra mitad ocurre del lado de los estudiantes, y probablemente sea el problema más costoso: el fraude de estudiantes fantasma.

La mecánica es sencilla. Los actores malintencionados usan identidades falsas o robadas para inscribirse como estudiantes, no para asistir a clases, sino para obtener ayuda financiera. Las solicitudes generadas por IA ahora son lo suficientemente buenas como para superar la verificación de identidad que la mayoría de las instituciones todavía emplea, lo que significa que este fraude escala de la misma manera que el robo de credenciales: automáticamente, y rápido.

Las cifras están resultando difíciles de ignorar. Se estima que 150 millones de dólares en ayuda fueron otorgados a estudiantes no elegibles solo en 2025, y los colegios comunitarios fueron los más afectados porque normalmente operan la infraestructura de identidad menos robusta. Delaware County Community College descubrió más de 500 cuentas de estudiantes falsos por sí mismo. A nivel nacional, el gobierno federal tiene más de 350 millones de dólares en fraude de estudiantes fantasma bajo investigación, en más de 200 casos abiertos.

El costo no es abstracto, y no se limita solo a las propias escuelas. Cuando un estafador se inscribe con una identidad robada y cobra un préstamo, la persona real detrás de esa identidad suele ser quien termina con la deuda. Los estudiantes legítimos terminan compitiendo por fondos de ayuda financiera cada vez más reducidos y recursos institucionales que el fraude ya ha desviado. Como encontró una reciente investigación de ABC News, los colegios comunitarios del sur de California están siendo inundados con solicitudes generadas por IA, y el patrón se está presentando a nivel nacional, no solo en una región.

El robo de credenciales y el fraude de estudiantes fantasma parecen problemas diferentes, pero comparten la misma causa raíz: verificaciones de identidad que solo ocurren una vez, en el momento del inicio de sesión o la inscripción, y que nunca se revisitan nuevamente.

Identity Isn’t an Event: It’s a Lifecycle

Ese es el cambio que la educación superior debe hacer en 2026. La pregunta no puede limitarse a “¿autenticó esta persona con éxito?”. Tiene que ser continua: quién tiene acceso ahora mismo, y si aún debería tenerlo.

Esa pregunta se ha vuelto más difícil de responder porque la población de “identidades” en el campus se ha expandido mucho más allá de estudiantes y personal. Las universidades ahora son responsables de asegurar agentes de IA autónomos, integraciones de terceros e identidades de máquinas que tocan sistemas sensibles cada día, a menudo con mucho menos control que una cuenta humana. Cada una de esas identidades es un punto de entrada potencial, y la mayoría de las instituciones no disponen de un método en tiempo real para rastrearlas.

Esto es precisamente donde la Gestión del Ciclo de Vida de la Identidad (Identity Lifecycle Management) gana su lugar como prioridad, no como algo opcional. La autenticación estática, de una sola vez, se diseñó para un mundo donde “identidad” significaba una persona que iniciaba sesión con una contraseña. Nunca se construyó para un mundo con IA agente, integraciones máquina‑a‑máquina y redes de fraude que pueden generar un estudiante falso convincente en segundos. Cerrar esa brecha significa combinar claves de acceso resistentes al phishing y gobernanza de IA agente con un enfoque ILM que revise y actualice continuamente el acceso, en lugar de concederlo una sola vez y asumir que sigue siendo válido un semestre después.

La educación superior no puede quedarse al margen y esperar a que las investigaciones federales alcancen. Las instituciones que se adelanten serán las que dejen de tratar la identidad como una casilla de verificación al iniciar sesión y empiecen a considerarla algo que debe verificarse, monitorearse y ajustarse continuamente, para cada ser humano y cada máquina que toque sus sistemas.

Los atacantes ya han automatizado su parte de esto. Es hora de que la educación superior haga lo mismo.