La mayoría de los ataques no empiezan en el cortafuegos: empiezan con una contraseña

Las credenciales son uno de los principales puntos de entrada

El cortafuegos, los switches y el filtrado son necesarios, pero una parte muy importante de los incidentes de seguridad empieza en un lugar mucho más sencillo: una cuenta de usuario y una contraseña. Una credencial robada, una cuenta que sigue activa después de que una persona haya dejado el centro o una contraseña compartida por varias personas puede ser suficiente para que alguien acceda a sistemas a los que no debería poder entrar.

Por eso, proteger la red de un centro educativo también significa gestionar correctamente quién puede acceder, a qué puede acceder y durante cuánto tiempo. Según el informe The State of Ransomware in Education 2026, publicado por Sophos y elaborado a partir de una encuesta a 226 responsables de tecnología de centros educativos de 17 países, el 85 % de los ataques de ransomware contra instituciones educativas utilizó técnicas relacionadas con la identidad.

Entre ellas se incluyen el correo malicioso, la suplantación de identidad y el uso de credenciales robadas o comprometidas. En el conjunto de sectores analizados por Sophos, este porcentaje fue del 79 %. En educación, por tanto, el peso de este tipo de ataques fue todavía mayor.

El dato es importante porque cambia la forma de plantear la seguridad. El cortafuegos continúa siendo imprescindible, pero no puede saber si quien está utilizando unas credenciales válidas es realmente su propietario. Si alguien consigue el usuario y la contraseña de una cuenta con acceso al correo, a la plataforma educativa o a determinados sistemas del centro, desde el punto de vista técnico puede parecer un acceso legítimo.

Por eso, una parte fundamental de la seguridad consiste en reducir las posibilidades de que una cuenta pueda utilizarse de forma indebida y limitar lo que puede hacer si llega a comprometerse.

Las cuentas compartidas dificultan saber quién ha hecho qué

En los centros educativos todavía pueden encontrarse cuentas utilizadas por varias personas. Una cuenta común de secretaría. Un usuario compartido en la sala de profesores. Un ordenador de aula que permanece con la misma sesión iniciada durante toda la jornada.

Estas situaciones suelen aparecer por comodidad y por necesidades reales del trabajo diario, no porque alguien haya decidido trabajar de forma insegura. El problema aparece cuando varias personas utilizan la misma cuenta. Si el sistema registra que el usuario «secretaría» ha accedido a un expediente, resulta imposible saber cuál de las personas que utilizan esa cuenta realizó realmente la consulta.

Y esto afecta también a la propia protección de los trabajadores: si tres personas utilizan las mismas credenciales, tampoco es posible demostrar fácilmente cuál de ellas no realizó una determinada acción. Por eso, siempre que sea posible, cada persona debería utilizar su propia cuenta. Además de mejorar la seguridad, permite disponer de algo fundamental cuando ocurre una incidencia: trazabilidad, es decir, poder saber qué usuario accedió, cuándo lo hizo y desde qué dispositivo.

Las cuentas de personas que ya no están en el centro

Otro problema habitual son las cuentas que siguen activas después de que un profesor, trabajador o proveedor haya dejado de colaborar con el centro. Normalmente no ocurre porque alguien haya decidido mantenerlas abiertas. La baja puede tramitarse correctamente desde el punto de vista laboral o administrativo, pero no existir un procedimiento que asegure que esa misma baja se aplique también al correo electrónico, a la red wifi, a las plataformas educativas y al resto de sistemas.

En otros casos se mantiene una cuenta durante unos días para recuperar información o terminar alguna gestión y después nadie vuelve a revisarla. Un caso especialmente importante son los accesos de proveedores y antiguos instaladores. Una empresa que instaló un sistema hace varios años puede haber creado una cuenta de administración para realizar el mantenimiento. Si esa cuenta continúa activa después de terminar la relación con el proveedor, puede conservar permisos elevados durante años sin que nadie en el centro lo recuerde.

No es necesario suponer ninguna mala intención. El riesgo está simplemente en mantener accesos que ya no son necesarios. La revisión de estas cuentas es, además, una de las medidas de seguridad más sencillas que puede realizar un centro.

Se trata de obtener la relación de cuentas activas en cada sistema, identificar a quién pertenece cada una y comprobar si esa persona sigue necesitando acceso. Las cuentas que ya no correspondan a nadie deben cerrarse y las que tengan permisos elevados deben revisarse con especial atención.

Una contraseña wifi compartida acaba dejando de ser privada

Otro ejemplo frecuente es la contraseña de la red wifi. Cuando todo el centro utiliza una misma clave, esa contraseña puede acabar pasando durante años por profesores, alumnos, familias, proveedores y visitantes. El problema no es únicamente que mucha gente la conozca. El problema es que todas esas personas acceden utilizando la misma credencial.

Si alguien deja el centro, cambiar esa contraseña obliga normalmente a modificarla también en todos los dispositivos que todavía deben seguir conectándose. Por ese motivo, es habitual que el cambio se vaya aplazando. La alternativa es que el acceso a la red dependa de la identidad de cada usuario.

Con tecnologías como WPA2/WPA3-Enterprise y 802.1X, cada persona puede conectarse utilizando sus propias credenciales del centro. En PenwinEdu lo implementamos mediante PenwinIn, integrando el acceso wifi con los directorios que el centro ya utiliza, como Google Workspace o Microsoft 365. De esta manera, no es necesario disponer de una contraseña wifi común que se comparte entre todos los usuarios.

Cada persona utiliza su propia identidad y, cuando esa cuenta se desactiva, también pierde automáticamente el acceso a la red.

Saber quién se conecta cambia la forma de gestionar la red

Cuando cada persona utiliza su propia cuenta, la red deja de registrar únicamente que «un dispositivo se ha conectado». Puede asociar esa conexión a una identidad concreta y saber qué dispositivo se utilizó, a qué hora se conectó y a través de qué punto de acceso.

Esto mejora considerablemente la trazabilidad en caso de incidencia. También facilita las bajas. Si un profesor deja el centro o se pierde un dispositivo, ya no es necesario cambiar una contraseña que utiliza todo el mundo. Se puede retirar únicamente el acceso correspondiente a esa persona o dispositivo.

Además, la identidad permite aplicar diferentes permisos según el tipo de usuario. El alumnado, el profesorado, administración o un proveedor externo no necesitan acceder a los mismos recursos de la red. Identificar al usuario permite colocar cada conexión en el entorno adecuado y limitar el acceso únicamente a los servicios que necesita.

El doble factor de autenticación en las cuentas importantes

Hay cuentas especialmente sensibles porque permiten administrar buena parte de la infraestructura. En estas cuentas, una contraseña por sí sola ofrece una protección insuficiente. El doble factor de autenticación añade una segunda comprobación. Además de conocer la contraseña, la persona debe confirmar el acceso mediante otro elemento, como una aplicación de autenticación o una llave física.

De esta forma, aunque alguien consiga la contraseña, todavía necesita ese segundo factor para entrar. No necesariamente hay que aplicar exactamente la misma política a todas las cuentas del centro, pero las cuentas con permisos de administración deberían disponer siempre de una protección adicional. La pequeña incomodidad de realizar una segunda verificación es muy inferior al impacto que puede tener que una cuenta administrativa quede comprometida.

Estas son las cuentas que deberían tener siempre esa protección adicional:

• La administración de Google Workspace o Microsoft 365.
• La plataforma de gestión académica.
• La administración de la red.
• Los sistemas de copia de seguridad.
• Los accesos remotos.
• Las plataformas desde las que se gestionan dispositivos.

La clave está en gestionar correctamente las altas y las bajas

Muchos de estos problemas tienen el mismo origen: las cuentas se crean cuando una persona necesita acceder a un sistema, pero no siempre existe un proceso igual de claro para retirarlas cuando esa persona deja de necesitarlo. La solución es relacionar los accesos tecnológicos con el ciclo real de las personas dentro del centro.

Cuando llega un nuevo profesor, alumno o trabajador, deben crearse los accesos correspondientes a su perfil. Cuando cambia de función, sus permisos deben cambiar. Y cuando deja el centro, esos accesos deben quedar desactivados.

La mejor forma de conseguirlo es utilizar como referencia el directorio que el centro ya emplea para gestionar a sus usuarios. PenwinIn, por ejemplo, puede integrarse con Google Workspace y Microsoft 365, de forma que el acceso a la red siga el mismo ciclo de vida que la cuenta del usuario.

Así se evita mantener listas independientes que alguien tiene que recordar actualizar manualmente.

La seguridad no puede depender únicamente de que nadie se equivoque

Pedir a los usuarios que utilicen buenas contraseñas, que no las compartan y que tengan cuidado con los correos fraudulentos es necesario. Pero no puede ser la única medida de seguridad. Si tres personas necesitan utilizar una aplicación y solo existe una cuenta que permite hacerlo, probablemente acabarán compartiéndola.

Si un ordenador del aula tarda varios minutos en iniciar sesión y el profesor tiene treinta alumnos esperando, es comprensible que exista la tentación de dejar la sesión abierta. El objetivo debe ser diseñar los sistemas para que trabajar de forma segura también sea la forma más sencilla de trabajar.

Eso implica disponer de cuentas individuales, asignar únicamente los permisos necesarios, utilizar doble factor de autenticación en las cuentas críticas y automatizar las altas y bajas siempre que sea posible. El mismo informe de Sophos recoge que el 52 % de los centros de educación no universitaria señaló el error humano como un factor que contribuyó a los incidentes.

La respuesta no debería consistir únicamente en pedir a las personas que no se equivoquen, sino en diseñar una infraestructura que limite las consecuencias cuando inevitablemente ocurre un error.

Por dónde empezar

La primera revisión puede hacerse sin necesidad de comprar nuevos equipos.

El punto de partida es obtener una relación de las cuentas activas en los principales sistemas del centro. A partir de ahí hay que comprobar:

• Qué persona utiliza cada cuenta.
• Qué cuentas son compartidas por varias personas.
• Qué usuarios pertenecen a personas que ya no están en el centro.
• Qué accesos conservan proveedores y antiguos instaladores.
• Qué cuentas tienen permisos de administración.
• En cuáles está activado el doble factor de autenticación.
• Cómo se crean los accesos cuando llega una persona nueva.
• Cómo se eliminan cuando deja el centro.
• Si el acceso al wifi utiliza una contraseña compartida o identifica individualmente a cada usuario.

La experiencia en centros educativos marca la diferencia

Con esta información es posible detectar rápidamente una parte importante de los riesgos relacionados con las credenciales. La gestión de identidades en un colegio no puede plantearse exactamente igual que en una oficina. Cada septiembre cambian cursos, grupos, profesores y alumnos. Durante el año hay nuevas incorporaciones, bajas, sustituciones y cambios de dispositivos.

Y todo ello debe convivir con plataformas educativas, ordenadores compartidos, dispositivos individuales, redes de administración y numerosos servicios externos. En PenwinEdu llevamos años trabajando específicamente con centros educativos y conocemos estas situaciones porque forman parte de su funcionamiento diario. Esa experiencia es precisamente la que ponemos al servicio de nuestros clientes para diseñar sistemas que reduzcan los riesgos sin complicar innecesariamente el trabajo del profesorado, de administración o de los responsables TIC.

No se trata únicamente de instalar una solución tecnológica. Se trata de entender cómo funciona cada centro y conseguir que la seguridad forme parte de sus procesos habituales. Con PenwinIn sustituimos la contraseña compartida del wifi por la identidad que cada persona ya utiliza en el centro, integrada con su directorio y acompañada de monitorización 24/7 y soporte técnico con atención en menos de cuatro horas hábiles.