¿Cuántas filtraciones más necesita el sector educativo mexicano para reaccionar ante los ciberataques?

A inicios de marzo de 2026, el sistema educativo mexicano enfrenta una de las crisis de ciberseguridad más severas de su historia reciente. Al menos 14 incidentes confirmados de filtración de datos y accesos no autorizados han impactado a universidades públicas y dependencias federales, incluida la Secretaría de Educación Pública (SEP), responsable de resguardar la información académica y personal de millones de estudiantes en todo el país. La dimensión y frecuencia de los ataques no solo evidencian la creciente sofisticación de los grupos de ciberdelincuencia, sino también profundas debilidades estructurales en la protección de datos dentro del sector.

Entre los responsables señalados en foros especializados figuran colectivos como Chronus y Sociedad Privada 157, quienes habrían difundido bases de datos con información altamente sensible: nombres completos, domicilios, RFC, CURP, correos electrónicos, números telefónicos, historiales académicos e incluso registros médicos. La exposición de este tipo de datos coloca a estudiantes, docentes y personal administrativo en riesgo de robo de identidad, fraude financiero y otras modalidades de extorsión digital.

El recuento de incidentes resulta alarmante por su concentración temporal y su alcance. Entre el 1 y el 7 de enero, la Universidad Nacional Autónoma de México reportó intrusiones en cinco de sus sistemas; aunque la institución negó la sustracción de información, investigaciones preliminares apuntan a un posible acceso a más de 300 mil registros. El 6 de enero, planteles públicos adscritos a la SEP en Puebla y Quintana Roo fueron afectados por la filtración de datos estudiantiles, incluidos expedientes médicos.

A finales de ese mismo mes, el panorama se agravó con un ataque masivo contra la SEP atribuido a Chronus, en el que se habrían extraído 2.3 terabytes de información. El universo potencialmente comprometido alcanzaría hasta 36.5 millones de personas, entre identidades educativas y datos biométricos, lo que convierte el episodio en uno de los más graves en la historia administrativa del país. De manera paralela, la Universidad Americana del Noreste (UANE) fue objeto de filtraciones difundidas en canales de mensajería instantánea.

Durante febrero, la cadena de vulneraciones continuó. Cerca de 54 mil credenciales de empleados del sector educativo —incluyendo contraseñas y números de matrícula— fueron expuestas, mientras que la Universidad Autónoma de Sinaloa reportó la afectación de 67,984 registros. El 23 de febrero, la Universidad Autónoma del Estado de Hidalgo y la Universidad Autónoma de Chiapas enfrentaron la difusión de más de 26 mil registros en foros clandestinos.

Entre el 26 y el 28 de febrero, nuevas filtraciones impactaron a la Universidad de Guadalajara, la Universidad Autónoma Benito Juárez de Oaxaca, la Universidad Autónoma de Guerrero, la Universidad Mexiquense del Bicentenario y la Universidad de Guanajuato, con un saldo superior a 119 mil registros comprometidos.

En los primeros días de marzo, la Universidad de Ciencias y Artes de Chiapas, la propia Universidad de Guadalajara —en un evento adicional—, la Universidad Autónoma del Estado de México y la Universidad de la Salud se sumaron a la lista de instituciones afectadas, con decenas de miles de registros adicionales expuestos.

Tan sólo en el ámbito universitario, la suma documentada supera los 560 mil registros directamente filtrados. Si se incorpora el impacto del ataque a la SEP y otros incidentes dispersos, el número de personas potencialmente afectadas rebasa con facilidad el millón y podría escalar a decenas de millones, dada la amplitud de las bases de datos federales comprometidas.

El contraste con los estándares internacionales es contundente. Organismos como la UNESCO y la European Union Agency for Cybersecurity (ENISA) promueven políticas de cifrado robusto, auditorías periódicas y protocolos de respuesta inmediata ante incidentes, lineamientos que buscan blindar de forma sistemática la información educativa. La reiteración de fallas en México sugiere que dichas prácticas no han sido implementadas con la rigurosidad necesaria o carecen de supervisión efectiva.

Más allá de la dimensión técnica, la crisis revela un problema de gobernanza digital. La limitada comunicación con las comunidades afectadas, la ausencia de reportes transparentes y la falta de auditorías independientes reflejan un déficit institucional que amplifica el impacto de cada intrusión. En otras jurisdicciones con marcos regulatorios consolidados, las filtraciones detonan planes inmediatos de mitigación y acompañamiento a víctimas; en contraste, la reacción en México ha sido fragmentada y, en algunos casos, minimizadora.

La acumulación de ataques en un lapso tan breve constituye una advertencia inequívoca. La protección de datos personales en el ámbito educativo no puede seguir tratándose como un asunto secundario. Se requiere inversión sostenida en infraestructura tecnológica segura, capacitación especializada y adopción integral de estándares internacionales. Lo que está en juego trasciende la reputación institucional: se trata de la confianza pública en el sistema educativo y de la seguridad digital de millones de estudiantes y trabajadores. La información aquí consignada se mantiene actualizada hasta marzo de 2026, en un escenario dinámico donde nuevos incidentes podrían emerger en cualquier momento.

* Víctor Ruiz. Fundador de SILIKN | Emprendedor Tecnológico | Coordinador de la Subcomisión de Ciberseguridad de COPARMEX Querétaro | Líder del Capítulo Querétaro de OWASP | NIST Cybersecurity Framework 2.0 Certified Expert (CSFE) | (ISC)² Certified in Cybersecurity℠ (CC) | Cyber Security Certified Trainer (CSCT™) | EC-Council Ethical Hacking Essentials (EHE) | EC-Council Certified Cybersecurity Technician (CCT) | Cisco Ethical Hacker & Cybersecurity Analyst.

X:https://x.com/victor_ruiz

Instagram:https://www.instagram.com/silikn

YouTube:https://www.youtube.com/@silikn7599

** Las expresiones emitidas en esta columna son responsabilidad de quien las escribe y no necesariamente coinciden con la línea editorial de Infobae México, respetando la libertad de expresión de expertos.