La Universidad Complutense de Madrid (UCM) ha vuelto a ser víctima de un ataque informático que ha encendido todas las alarmas dentro de la comunidad académica. Durante la mañana del domingo 26 de octubre, numerosos estudiantes recibieron correos electrónicos fraudulentos en los que se les exigía el pago inmediato de 1.500 euros para “regularizar su matrícula”. El mensaje, redactado con aparente oficialidad y utilizando una identidad casi idéntica a la institucional, amenazaba con trasladar el expediente del alumno a un supuesto “departamento de litigios” en caso de impago.
El correo utilizaba un dominio falso —ucm-es.live— que imitaba al legítimo ucm.es, y estaba diseñado para generar confusión entre los estudiantes. En él se incluían instrucciones detalladas para realizar transferencias bancarias, algunas hacia cuentas extranjeras, así como la solicitud de enviar comprobantes de pago en un plazo inferior a 24 horas. La estafa, de manual pero sofisticada en su presentación, logró circular ampliamente antes de que la universidad emitiera un comunicado de emergencia para desmentir su autenticidad.
A las pocas horas del ataque, el Vicerrectorado de Tecnología y Sostenibilidad de la UCM distribuyó un mensaje oficial advirtiendo de la campaña de phishing y recomendando a todos los usuarios ignorar los correos fraudulentos, no abrir enlaces ni aportar datos personales o financieros. En su comunicado, el vicerrector Jorge Jesús Gómez Sanz subrayó que la comunicación era falsa “por múltiples motivos”: el importe no correspondía con ninguna tasa universitaria, el tono del mensaje buscaba infundir urgencia y la cuenta de destino no figuraba en ningún registro institucional.
La universidad confirmó que había iniciado una investigación interna para determinar el alcance del ataque y si se había producido alguna brecha en sus bases de datos. También se activó un protocolo de coordinación con las autoridades competentes, incluyendo la Agencia Española de Protección de Datos y las fuerzas de seguridad, con el fin de rastrear el origen de la estafa y evaluar posibles daños económicos o de reputación.
Antecedentes y vulnerabilidad del sistema universitario
El incidente de este fin de semana no es el primero que afecta a la Complutense. En mayo de 2024, el centro ya había sufrido un ciberataque que comprometió información personal de estudiantes vinculados a un programa de prácticas, lo que motivó una denuncia ante la AEPD. Desde entonces, la universidad reforzó sus medidas de ciberseguridad y mejoró sus sistemas de autenticación, aunque este nuevo ataque demuestra que el riesgo sigue siendo elevado.
La UCM, con más de 80.000 estudiantes y 6.000 trabajadores, es la mayor universidad presencial de España y una de las instituciones con más superficie digital y volumen de datos del país. La gestión académica, las comunicaciones electrónicas y la administración interna dependen de plataformas digitales que centralizan información sensible: desde expedientes y matrículas hasta direcciones personales y datos bancarios. Esta enorme exposición convierte a la universidad en un objetivo atractivo para los ciberdelincuentes, que buscan tanto obtener dinero rápido como explotar vulnerabilidades estructurales.
El patrón del engaño: urgencia y credibilidad
Los ataques de phishing como el sufrido por la Complutense se basan en un patrón conocido: crear un entorno de urgencia y aparente legitimidad que lleva al usuario a actuar sin reflexionar. En este caso, el mensaje contenía un lenguaje administrativo preciso, referencias a plazos de pago y una firma falsa del “Servicio de Gestión Académica”. La fecha del envío —domingo por la mañana— también fue calculada para aumentar la eficacia: un día en que las oficinas están cerradas y los estudiantes tienen menos posibilidad de verificar la información con personal universitario.
El diseño del ataque indica un nivel de conocimiento previo sobre la estructura de la universidad y su calendario de matrículas, lo que sugiere una planificación cuidadosa. Aunque todavía no se ha confirmado si los atacantes accedieron a bases de datos internas, la recepción del correo por parte de antiguos alumnos apunta a que los remitentes pudieron utilizar direcciones obtenidas en campañas anteriores o en foros de compraventa de datos personales.
El ataque ha vuelto a poner de relieve la necesidad de reforzar la cultura digital en las universidades. La Complutense, como muchas instituciones públicas, depende de un ecosistema informático extenso y heterogéneo, en el que conviven sistemas antiguos con plataformas modernas, y donde la seguridad depende tanto de la infraestructura tecnológica como de la prudencia de los usuarios.
En sus primeras valoraciones, la dirección universitaria insistió en que “ningún sistema es completamente inmune” y que la primera línea de defensa frente al cibercrimen es la prevención y la concienciación. Se prevé que, tras este incidente, la universidad impulse nuevas campañas de formación sobre seguridad digital para estudiantes y personal docente, así como la implementación de protocolos de doble verificación en las comunicaciones administrativas sensibles.
Un reflejo de los riesgos del entorno digital educativo
El episodio vivido en la Complutense forma parte de una tendencia creciente: los ataques a instituciones educativas han aumentado de forma exponencial en España y Europa. Los delincuentes aprovechan la vulnerabilidad de los sistemas académicos, el elevado número de usuarios y la ausencia de supervisión durante fines de semana o vacaciones para ejecutar campañas masivas.
En 2024, varios centros de educación superior en Francia, Italia y Alemania fueron objeto de incidentes similares, en los que se suplantó la identidad de las universidades para obtener pagos fraudulentos o secuestrar datos mediante ransomware.
El caso de la UCM confirma que las universidades, más allá de ser espacios de conocimiento, son también entornos críticos desde el punto de vista digital. Sus servidores albergan investigaciones científicas, bases de datos de personal y archivos históricos de valor incalculable. Cualquier ataque, aunque sea de baja escala, puede comprometer no solo a los estudiantes afectados, sino también la credibilidad institucional y la continuidad de servicios esenciales.
A medida que avanza la investigación, el incidente del domingo deja una lección clara: la ciberseguridad universitaria es un desafío estructural. No basta con proteger sistemas; es necesario educar en el uso responsable de la tecnología, detectar vulnerabilidades humanas y mantener una vigilancia constante.
El ataque no logró afectar la operatividad general de la Complutense ni paralizar sus servicios, pero sí ha servido como advertencia sobre la fragilidad de la confianza digital. En un contexto donde la gestión académica, la comunicación y la identidad digital se funden en un mismo espacio, la seguridad se convierte en un requisito indispensable para proteger lo que la universidad representa: conocimiento, comunidad y futuro.
