Un ciberataque de alcance global contra la plataforma educativa Canvas encendió las alarmas en miles de universidades y centros académicos de todo el mundo, luego de que el grupo de hackers ShinyHunters afirmara haber vulnerado los servidores de la empresa Instructure, creadora del sistema de aprendizaje utilizado por casi 9.000 instituciones educativas.
El ataque no solo provocó interrupciones en el acceso a la plataforma, sino que además puso en riesgo información sensible vinculada a más de 200 millones de usuarios, entre estudiantes, docentes y personal administrativo de universidades de distintos países.
La situación generó especial preocupación en Estados Unidos, donde instituciones de alto perfil académico como Harvard y Stanford quedaron bajo alerta tras la caída del sistema y la amenaza pública de difusión de datos robados.
El ataque atribuido a ShinyHunters
El grupo ShinyHunters, conocido internacionalmente por operaciones de ciberextorsión y robo de información, se adjudicó el hackeo y difundió mensajes en redes sociales en los que aseguró haber vulnerado nuevamente la infraestructura de Instructure. Según los reportes publicados por distintos medios estadounidenses, estudiantes que intentaron ingresar a Canvas durante las últimas horas encontraron un mensaje en pantalla indicando que los servidores de la empresa habían sido comprometidos "otra vez".
En la comunicación difundida por los hackers, el grupo responsabilizó a las autoridades de la plataforma por no haber negociado previamente. En lugar de ponerse en contacto con nosotros para resolverlo, nos ignoraron e hicieron algunos 'parches de seguridad'", escribieron los atacantes.
La publicación también incluyó amenazas directas contra las instituciones educativas afectadas. "Si alguno de los centros incluidos en la lista afectada está interesado en evitar la publicación de sus datos, consulte con una firma de asesoría en ciberseguridad y contáctenos en privado... para negociar un acuerdo", señalaron.
La amenaza de publicar datos privados
El punto más delicado del ataque no fue únicamente la interrupción del servicio educativo, sino la posibilidad de difusión masiva de información privada obtenida durante la intrusión. Según los primeros informes, ShinyHunters habría accedido a enormes volúmenes de datos personales vinculados con las universidades que utilizan Canvas.
Los hackers afirmaron que publicarán toda la información robada si las instituciones no se comunican antes del 12 de mayo. "Publicaremos todos los datos robados si las instituciones no se ponen en contacto antes del 12 de mayo", amenazaron. La filtración incluiría información perteneciente a:
- Estudiantes.
- Profesores.
- Personal administrativo.
- Usuarios registrados en la plataforma.
Además, el mensaje difundido por los atacantes incorporó un enlace con una lista de instituciones presuntamente comprometidas por el hackeo. En Estados Unidos ya fueron confirmadas al menos 160 universidades afectadas.
Harvard, Stanford y miles de universidades bajo alerta
El alcance internacional de Canvas convirtió el episodio en una preocupación global para el sistema educativo universitario. La plataforma es utilizada por cerca de 9.000 universidades y centros académicos en distintos países, lo que multiplica el impacto potencial del ciberataque.
Entre las instituciones que manifestaron problemas vinculados al sistema apareció la Universidad de Stanford, que informó que Canvas no se encontraba disponible debido a "un problema que está experimentando el proveedor". La universidad agregó además que Instructure había comunicado recientemente la existencia de un incidente de seguridad informática a nivel nacional que, según la empresa, ya había sido contenido.
Sin embargo, el escenario se volvió más complejo luego de que los atacantes aseguraran haber extraído datos sensibles y amenazaran con hacerlos públicos.
Qué datos habrían sido robados
Desde Instructure reconocieron que la filtración inicial comprometió información personal de usuarios vinculados a la plataforma.
Entre los datos robados figurarían:
- Nombres completos.
- Direcciones de correo electrónico.
- Números de identificación de estudiantes.
- Mensajes privados intercambiados entre usuarios.
La posibilidad de que esos datos sean publicados o comercializados genera preocupación entre las universidades afectadas, especialmente por la magnitud del ecosistema académico que depende de Canvas para el funcionamiento cotidiano de clases, exámenes y comunicación institucional.