Post actualizado el día octubre 27, 2026 by DeiviSanzPlay
Un profesor de secundaria recibe un correo de «Secretaría» con un PDF de actas. Lo abre desde el ordenador del aula compartida. El archivo pide credenciales para «ver el documento completo». Escribe su usuario del correo corporativo y su contraseña de siempre. Tres semanas después, su cuenta empieza a enviar correos con enlaces a familias y alumnos. El centro tardó en detectarlo porque el buzón comprometido era el suyo, no el de un alumno.
Este escenario no es una excepción: es el tipo de incidente que se repite en centros educativos porque el docente es un objetivo fácil (accede a datos de menores, gestiona plataformas y a menudo trabaja con equipos compartidos o dispositivos personales). Repasamos los errores que más se ven en la práctica, con matices que solo se aprenden cuando ya ha pasado algo.
Error 1: reutilizar la contraseña del correo personal en la plataforma del centro
Es el fallo más extendido y el más rentable para un atacante. Si la contraseña del correo personal aparece en una filtración de datos (algo que ocurre de forma habitual según los informes de brechas del sector), y esa misma clave abre la cuenta de Google Workspace o Microsoft 365 del colegio, el acceso está servido.
Cómo evitarlo: separa identidades. Una contraseña única para el correo del centro, otra para el personal y un gestor de contraseñas para no memorizarlas todas. La doble verificación (2FA) en la cuenta del centro no es opcional: si el proveedor la permite, actívala con app autenticadora, no solo con SMS (el SMS es vulnerable a la sim swapping).
Error 2: abrir adjuntos «del centro» sin verificar el remitente real
El phishing dirigido a docentes suele imitar comunicaciones internas: actas, notas, circulares, justificantes de faltas. El error no es abrir el correo; es no mirar la dirección completa del remitente ni desconfiar de una urgencia artificial.
Señales concretas: dominio parecido pero no idéntico (por ejemplo, terminado en otro dominio), saludo genérico, petición de credenciales o de «confirmar datos», y enlaces que al pasar el ratón no coinciden con el texto. Si el mensaje pide contraseña, no es del centro.
Error 3: usar el pendrive del aula como disco duro personal
Los USB compartidos entre ordenadores de aulas, departamentos y salas de profesores son un vector clásico de malware. Un archivo ejecutable camuflado o un acceso directo malicioso se propaga en cuanto se conecta al siguiente equipo.
Alternativa: almacenamiento en la nube del centro con permisos por departamento, y si se usa USB, que sea uno propio, formateado y con análisis previo. En equipos compartidos conviene desactivar la ejecución automática de medios extraíbles.
Error 4: instalar apps o extensiones en el navegador del aula sin criterio
Una extensión de «corrector ortográfico» o un «descargador de vídeos» puede leer todo lo que se escribe en el navegador, incluido el acceso a la plataforma de notas. Esto no se detecta a simple vista y muchos centros no tienen política de extensiones.
Límite práctico: no siempre puedes impedir que un compañero instale algo en el equipo compartido. Lo que sí puedes hacer es no iniciar sesión con tu cuenta en un navegador que no controlas, y cerrar sesión al terminar (no basta con cerrar la pestaña).
Error 5: compartir datos de alumnos en canales no autorizados
Listados de notas, informes de orientación o datos de contacto de familias enviados por WhatsApp o correo personal. El problema no es solo de seguridad: es de protección de datos. La información de menores es categoría sensible y el centro debe indicar qué canal usar.
Regla útil: si el canal no lo ha designado el centro por escrito, no es un canal válido para datos identificativos. Y ojo con las copias de seguridad en dispositivos personales: un móvil sin bloqueo con fotos de expedientes es una brecha en potencia.
Error 6: no revisar quién tiene acceso a las cuentas compartidas
Carpetas de departamento, aulas virtuales, formularios de inscripción. Con el tiempo, antiguos compañeros, alumnos egresados o cuentas genéricas mantienen permisos de edición. Nadie los revoca porque nadie es responsable.
Cómo evitarlo: revisión periódica de miembros y permisos en las herramientas del centro, y principio de mínimo privilegio: quien solo necesita leer, que no pueda editar.
Error 7: confiar en que «el centro ya lo tiene resuelto»
Aquí conviene ser honesto: la ciberseguridad escolar no depende solo del docente. Muchos centros pequeños no tienen responsable TIC dedicado, no aplican parches a tiempo o no segmentan la red de invitados. Un profesor no puede arreglar la infraestructura, pero sí puede exigir por escrito protocolos de incidentes y formación básica.
Lo que no funciona: las charlas anuales genéricas sin casos reales del centro. Lo que sí suele funcionar: simulacros de phishing internos, un canal claro para reportar un correo sospechoso sin miedo a represalias y una persona designada para responder en menos de una hora.
Qué puedes hacer esta misma semana
- Cambia la contraseña del correo del centro por una única y activa la doble verificación.
- Revisa los dispositivos donde tienes sesión iniciada y cierra las que no reconozcas.
- Comprueba los permisos de las carpetas compartidas de tu departamento.
- Pregunta al centro qué protocolo existe si sospechas un incidente. Si no hay, propón uno.
Ninguna medida garantiza inmunidad total. Un atacante paciente puede encontrar el eslabón humano. Pero la mayoría de incidentes en centros educativos se evitan con higiene básica de cuentas y desconfianza razonable ante mensajes que piden credenciales con urgencia. Según la documentación de los principales proveedores de correo, la doble verificación bloquea la gran mayoría de accesos no autorizados por contraseña robada; no es una solución completa, pero sí un filtro que cambia el juego.
Perfiles verificables: Sitio web
Publicado el 27 de October de 2026. Última revisión: 27 de October de 2026.
