Os estudantes continuam sendo o elo mais fraco da segurança cibernética do ensino superior

Apenas 22 por cento dos diretores de tecnologia dizer os alunos de sua instituição recebem treinamento adequado em segurança cibernética, de acordo com Por dentro do ensino superiorPesquisa de 2026 com diretores de tecnologia/informação do campus. Em comparação, 68 por cento afirmam que o corpo docente e os funcionários recebem formação adequada. Outros 70% afirmam que a liderança da sua instituição dá prioridade aos investimentos em segurança cibernética.

Os estudantes que constituem uma lacuna nos ecossistemas de segurança cibernética das suas instituições não são novidade. No ano passado enqueteapenas 26% dos CTOs relataram exigir treinamento em segurança cibernética dos alunos, contra 79% para professores e 86% para funcionários administrativos.

Mas as ameaças à cibersegurança no ensino superior são apenas aumentandocomo o recente ataque impactando o sistema de gerenciamento de aprendizagem Canvas, ressaltou. E a inteligência artificial promete acelerar esta tendência. Ataques de phishing convincentes, por exemplo, são muito mais fáceis de elaborar, personalizar e implementar em escala com IA. Agente ferramentas representam novos riscos. E os modelos também têm sido usados ​​para descobrir e transformar vulnerabilidades de “dia zero” – aquelas anteriormente desconhecidas pelos desenvolvedores – em sistemas de software. Nesta primavera, a gigante da IA ​​Anthropic disse que estava impedindo a divulgação pública do seu próprio modelo Claude Mythos devido à sua capacidade sem precedentes de explorar tais fraquezas. Que supostamente fez com que a Casa Branca repensasse a sua abordagem laissez-faire à regulamentação da IA, embora uma ordem executiva emitida na semana passada apresenta um quadro de supervisão voluntária para novos modelos.

A segurança cibernética também é uma preocupação crescente para os CTOs em 2026: quase seis em cada 10 (59 por cento) identificam violações críticas de segurança cibernética ou incidentes de ransomware como um dos principais riscos institucionais até 2030, tornando-os a segunda ameaça mais citada, atrás da dificuldade de recrutar e reter talentos de TI (62 por cento). A terceira ameaça são as trajetórias de custos insustentáveis ​​dos serviços tecnológicos (56%). Estes factores estão, pelo menos um pouco, relacionados: com recursos escassos, as instituições devem fazer uma triagem de quem e o que recebe atenção em matéria de segurança cibernética. Historicamente, o corpo docente e o pessoal têm sido priorizados, dado o seu acesso a informações sensíveis em virtude das suas funções. Mas os especialistas disseram Por dentro do ensino superior que continuar a colocar a segurança cibernética dos alunos em segundo plano prejudica não apenas a instituição, mas os próprios alunos.

“A maioria das universidades não impõe treinamento em segurança cibernética para os estudantes, o que expõe essa categoria de usuários a um risco maior do que outros”, apesar de serem o maior eleitorado do campus, disse Rob Groome, diretor de informação do Instituto de Tecnologias Criativas da Universidade do Sul da Califórnia. “As universidades em geral precisam envolver a população estudantil desde o início do processo de admissão em relação às expectativas de segurança cibernética, uma vez aceitas. Isto criará uma cultura com a população estudantil que chega, e os requisitos serão apenas parte de sua jornada pela universidade.”

Ben Woelk, gerente de governança, conscientização e treinamento do Escritório de Segurança da Informação do Rochester Institute of Technology, explicou que muitos membros do corpo docente têm acesso a dados valiosos de pesquisa, enquanto administradores e funcionários lidam com outros tipos de informações institucionais confidenciais – tornando-os grupos críticos para treinamento. Mas embora os estudantes possam não ter acesso aos dados de maior valor da sua faculdade, muitas vezes estão entre os seus alvos mais vulneráveis. Sob esta luz, a formação dos estudantes em segurança cibernética tem tanto a ver com protegê-los como com proteger a instituição.

“No ensino superior, vemos estudantes sendo alvo de roubo de credenciais para que o invasor possa tentar registrar solicitações de reembolso de mensalidades”, disse Woelk, acrescentando que esses eventos podem ser cronometrados ciclicamente em torno de datas importantes do calendário acadêmico. Além disso, “tivemos casos de invasores vitimando estudantes internacionais com golpes relacionados a vistos”.

Neste último tipo de esquema, Woelk disse que os estudantes internacionais recebem mensagens, incluindo chamadas ou mensagens de texto, que parecem vir de agências governamentais ou autoridades responsáveis ​​pela aplicação da lei alertando sobre problemas com vistos – perguntas que podem parecer mais credíveis na actual situação política. ambiente. As vítimas são pressionadas a enviar dinheiro, às vezes perdendo milhares de dólares em 24 horas. O Federal Bureau of Investigation e as próprias faculdades e universidades têm avisado estudantes sobre tal ataques.

Golpes de empregos direcionados a estudantes também se tornaram comuns, continuou Woelk, com hackers prometendo empregos flexíveis no campus em troca de informações pessoais ou financeiras. Freqüentemente, o e-mail inicial vem de uma conta que parece pertencer à instituição do aluno.

“É um risco direto para a universidade? Não, nem tanto”, disse Woelk sobre alguns desses incidentes. “Mas é um impacto terrível para os alunos.”

Manter-se atualizado

Na RIT, os fundamentos da segurança cibernética estão incluídos no currículo virtual de orientação do aluno. O treinamento é semelhante ao que os professores e funcionários recebem, mas adaptado às vulnerabilidades únicas dos alunos e mais focado na narrativa e em cenários do mundo real. Woelk disse que sua equipe também trabalhou com líderes de assuntos estudantis internacionais para aumentar a conscientização. A universidade fez experiências com segurança cibernética salas de fugaonline e offline, para aumentar o envolvimento.

A atenção dos estudantes e a capacidade do pessoal são desafiadas no ensino superior, disse ele, mas o argumento para uma defesa proactiva é forte: os hackers “podem enviar 10.000 e-mails, tantos quantos precisarem, e se conseguirem metade de 1% para responder e desistir, ainda estão a obter algum retorno sobre o investimento… O atacante não tem de ser sofisticado”.

‘Não clique no link’ parece estranho em comparação com uma ferramenta que o aluno instalou deliberadamente.”

— Estrategista Aviva Legatt

A estrategista Aviva Legatt, autora do boletim informativo Higher Ed AI Playbook, concordou que o treinamento de estudantes em segurança cibernética é uma busca que vale a pena – e que é um alvo em rápida evolução. Embora isso significasse “detectar um e-mail de phishing desajeitado”, disse ela, “a mais nova camada são os agentes autônomos – navegadores agentes e agentes abertos como o OpenClaw – que os alunos instalam e apontam para suas próprias contas e depois deixam agir em seu nome dentro do LMS, e-mail e até mesmo portais de ajuda financeira, usando o acesso legítimo do próprio aluno e sem barreiras de proteção controladas pela instituição”. Isto se cruza com a governança de dados, continuou ela, já que alguns alunos atuam como funcionários escolares de maneiras que os sujeitam às leis federais de privacidade dos estudantes.

“’Não clique no link’”, acrescentou Legatt, “parece estranho em comparação com uma ferramenta que o aluno instalou deliberadamente”.

Os CTOs também estão preocupados com o aumento dos navegadores de IA agentes: 26% concordam que se tornaram um sério problema de privacidade e/ou segurança na sua instituição, enquanto 24% concordam que se tornaram um sério problema de integridade académica.