Por que a IA está se tornando a nova defesa do ensino superior contra a batalha de acesso de usuários e credenciais

Os cibercriminosos avançaram para o mercado de alto nível, e o ensino superior agora está diretamente em seu alvo.

Por anos, os distritos de K-12 absorveram o pior disso. Quando a pandemia forçou a aprendizagem remota da noite para o dia, os sistemas escolares que nunca haviam se preparado ficaram expostos. O ensino superior parecia relativamente seguro: os campi já possuíam departamentos de TI maduros, orçamento para ferramentas de segurança e operavam sistemas digitais e ensino online há mais de uma década antes da COVID chegar. Essa lacuna está se fechando rapidamente. O “fruto fácil” no nível K-12 já foi amplamente colhido, e os atacantes agora voltam sua atenção para faculdades e universidades com as mesmas ferramentas impulsionadas por IA que tornaram o K-12 um alvo tão fácil.

A escala já está aparecendo nas manchetes. Só neste mês, informações pessoais foram roubadas de pelo menos 137.000 contas de funcionários escolares em uma violação que afetou Glendale Community College, Moody Bible Institute, Illinois Central College e Houston City College. Firewalls e ferramentas de perímetro ainda são importantes, mas nunca foram projetados para impedir o que está acontecendo agora: IA que permite aos atacantes personificar funcionários e estudantes em larga escala, suficientemente bem para escapar dos controles nos quais as instituições confiaram por anos. O roubo de credenciais e a tomada de contas não são mais casos raros. Eles são a principal superfície de ataque, e defendê‑la se tornou o desafio central de cibersegurança no ensino superior para 2026.

O outro lado do problema: estudantes fantasmas

Credenciais de funcionários roubadas recebem a maior parte da atenção, mas são apenas metade da história. A outra metade ocorre no lado dos estudantes, e é, sem dúvida, o problema mais caro: fraude de estudantes fantasmas.

A mecânica é simples. Agentes maliciosos usam identidades falsas ou roubadas para se matricular como estudantes, não para assistir às aulas, mas para receber auxílios financeiros. As candidaturas geradas por IA agora são suficientemente boas para superar a verificação de identidade que a maioria das instituições ainda utiliza, o que significa que essa fraude escala da mesma forma que o roubo de credenciais: automaticamente e rapidamente.

Os números estão se tornando difíceis de ignorar. Estima‑se que $150 million em auxílios foram destinados a estudantes inelegíveis apenas em 2025, com faculdades comunitárias sendo as mais afetadas porque geralmente operam a infraestrutura de identidade menos robusta. O Delaware County Community College descobriu mais de 500 fake student accounts em sua própria instituição. Nacionalmente, o governo federal tem mais de $350 million em fraudes de estudantes fantasmas sob investigação, em mais de 200 casos em aberto.

O custo não é abstrato, e não se limita apenas às próprias escolas. Quando um fraudador se matricula com uma identidade roubada e obtém um empréstimo, a pessoa real por trás dessa identidade costuma ser quem fica com a dívida. Estudantes legítimos acabam competindo por bolsas e recursos institucionais cada vez menores, que a fraude já drenou. Como revelou uma recente investigação da ABC News, faculdades comunitárias no sul da Califórnia estão sendo inundadas com candidaturas geradas por IA, e o padrão está se espalhando nacionalmente, não apenas em uma região.

O roubo de credenciais e a fraude de estudantes fantasmas parecem problemas diferentes, mas compartilham a mesma causa raiz: verificações de identidade que ocorrem apenas uma vez, no ponto de login ou matrícula, e nunca são revisadas novamente.

Identidade não é um evento: é um ciclo de vida

Essa é a mudança que o ensino superior precisa fazer em 2026. A questão não pode ser apenas “essa pessoa autenticou com sucesso”. Ela precisa ser contínua: quem tem acesso agora, e se ainda deve mantê‑lo.

Essa questão se tornou mais difícil de responder porque a população de “identidades” no campus se expandiu muito além de estudantes e funcionários. As universidades agora são responsáveis por proteger agentes de IA autônomos, integrações de terceiros e identidades de máquinas que interagem com sistemas sensíveis diariamente, muitas vezes com muito menos supervisão do que uma conta humana receberia. Cada uma dessas identidades é um ponto de entrada potencial, e a maioria das instituições não possui um método em tempo real para rastreá‑las.

É exatamente aqui que a Gestão de Ciclo de Vida de Identidade (Identity Lifecycle Management) ganha seu lugar como prioridade, não como algo opcional. A autenticação estática, única, foi projetada para um mundo onde “identidade” significava uma pessoa fazendo login com senha. Nunca foi concebida para um mundo com IA agente, integrações máquina‑a‑máquina e quadrilhas de fraude que podem gerar um estudante falso convincente em segundos. Fechar essa lacuna significa combinar chaves de acesso resistentes a phishing e governança de IA agente com uma abordagem de ILM que revisa e atualiza continuamente o acesso, em vez de concedê‑lo uma única vez e assumir que ainda é válido um semestre depois.

O ensino superior não pode ficar de braços cruzados e esperar que as investigações federais alcancem. As instituições que se anteciparem serão as que deixarem de tratar a identidade como uma caixa de seleção no login e começarão a tratá‑la como algo que precisa ser verificado, monitorado e ajustado continuamente, para cada ser humano e cada máquina que interage com seus sistemas.

Os atacantes já automatizaram sua parte disso. É hora de o ensino superior fazer o mesmo.