El 85% de los ataques de ransomware analizados por Sophos en educación recurrió a técnicas basadas en la identidad
Las técnicas basadas en la identidad estuvieron presentes en el 85% de los ataques de ransomware sufridos por las organizaciones educativas analizadas en el informe Estado del ransomware en el sector educativo 2026, elaborado por Sophos. El porcentaje supera la media intersectorial del 79% registrada por la compañía e incluye incidentes relacionados con correos electrónicos maliciosos, phishing, credenciales comprometidas y ataques de fuerza bruta.
Los correos electrónicos maliciosos constituyeron el principal método de ataque identificado, con un 31% de los casos en educación primaria y secundaria y un 29% en enseñanza superior. A su vez, el 77% de las instituciones de educación superior y el 71% de las de primaria y secundaria indicaron que el incidente de ransomware había sido también el ataque relacionado con la identidad más grave sufrido por su organización.
El estudio refleja asimismo un incremento del cifrado de datos en los centros de primaria y secundaria incluidos en la investigación. La proporción pasó del 29% en 2025 al 61% en 2026, mientras que, para el conjunto de organizaciones educativas estudiadas, el 58% de los ataques provocó el cifrado de información. Las copias de seguridad fueron el recurso empleado para recuperar los datos por el 77% de los centros de primaria y secundaria y el 69% de los de enseñanza superior, frente a una media intersectorial del 66%.
Los problemas para detectar y detener los incidentes aparecen igualmente entre los resultados. Un 53% de las instituciones de educación superior señaló carencias de habilidades o conocimientos, frente al 35% del conjunto de sectores. En primaria y secundaria, los factores citados con mayor frecuencia fueron el error humano (52%), la falta de protección (47%), las brechas de seguridad desconocidas (42%) y una capacidad limitada (41%).
Recuperaciones más largas y costes superiores a la media
El tiempo necesario para restablecer la actividad fue superior al observado por Sophos en otros sectores. El 26% de las organizaciones educativas necesitó entre uno y tres meses para recuperarse por completo, frente a una media intersectorial del 14%. En primaria y secundaria, el 31% tardó al menos un mes en volver a la normalidad.
Los costes medios de recuperación alcanzaron los 1,94 millones de euros, por encima de los 1,46 millones registrados como media intersectorial. Las demandas de rescate se situaron en una media de 665.000 euros, aunque esta cantidad ha descendido durante dos años consecutivos. Sophos señala, sin embargo, que los pagos aumentaron en 12.870 euros entre las ediciones de 2025 y 2026 de su informe.
Ross McKerchar, director de seguridad de la información de Sophos, relaciona la exposición de las instituciones educativas con el volumen de datos personales que gestionan y sus limitaciones de recursos. El responsable de la compañía considera que el robo de identidad se ha convertido en una vía eficaz para acceder a las organizaciones y defiende tratar la identidad como un control de seguridad, combinado con capacidades de detección y respuesta.
Los resultados proceden de una encuesta independiente realizada entre enero y marzo de 2026 a 226 responsables de TI y ciberseguridad de instituciones educativas de 17 países. Todas las organizaciones incluidas en la muestra habían sufrido un ataque de ransomware durante el año anterior. Se trata del sexto año en el que Sophos recopila estos datos.
