Por Canuto  

Instructure, la empresa detrás de Canvas, alcanzó un acuerdo con el grupo ShinyHunters después de dos intrusiones que comprometieron datos de estudiantes y personal en miles de escuelas. La decisión revive el debate sobre los riesgos de negociar con ciberdelincuentes, sobre todo tras antecedentes en el sector educativo.
***

  • Instructure dijo haber llegado a un acuerdo con los hackers que atacaron sus sistemas en dos ocasiones.
  • ShinyHunters aseguró haber robado datos de 275 millones de personas vinculadas a unas 9.000 escuelas que usan Canvas.
  • El caso recuerda el incidente de PowerSchool, donde el pago no evitó nuevas extorsiones posteriores.

 

Instructure, la compañía detrás del portal educativo Canvas, informó que alcanzó un acuerdo con el grupo de ciberdelincuencia ShinyHunters, responsable de dos intrusiones contra sus sistemas en menos de un año. El caso golpea a uno de los servicios más usados por instituciones educativas para gestionar datos académicos, comunicaciones y trabajos escolares.

La empresa señaló que, como parte del pacto, los atacantes entregaron pruebas de que los datos sustraídos fueron destruidos y de que los clientes de Canvas no serían extorsionados. Aun así, la propia Instructure admitió que al negociar con criminales no existe certeza total sobre el destino final de la información, informa TechCrunch.

La historia es especialmente delicada por el tipo de datos afectados. Entre los registros robados figuran nombres de estudiantes, correos electrónicos personales y mensajes intercambiados entre profesores y alumnos, incluidos contenidos privados y personales, según reportó TechCrunch.

Un ataque con alcance masivo en el sector educativo

ShinyHunters, un grupo conocido por operar con fines financieros, se atribuyó la filtración del 29 de abril. Los atacantes afirmaron haber robado información de estudiantes y personal de un total de 275 millones de personas, en un incidente que habría impactado el ecosistema de Canvas, utilizado por casi 9.000 escuelas.

La semana pasada, la presión sobre la empresa aumentó con una segunda intrusión. En esa ocasión, los hackers desfiguraron páginas de inicio de sesión de Canvas en sitios web de escuelas, en lo que pareció un intento directo de forzar el pago de un rescate.

Instructure sostuvo en su página del incidente, actualizada a última hora del lunes, que los dos accesos no autorizados fueron eventos distintos y comprometieron sistemas diferentes. La compañía agregó que la investigación seguía en marcha y que aún validaba sus hallazgos internos.

Ese matiz importa porque apunta a problemas de seguridad más amplios o, al menos, a una superficie de ataque significativa. Cuando una empresa es vulnerada en más de una ocasión en un período corto, la discusión deja de centrarse solo en un incidente puntual y pasa a examinar controles, segmentación, respuesta y gobierno de ciberseguridad.

Un acuerdo bajo sospecha y sin cifras públicas

Instructure no reveló los términos financieros del acuerdo ni explicó cuánto dinero habría pagado a los atacantes. Brian Watkins, portavoz de la empresa, no respondió a una solicitud de comentarios ni contestó preguntas específicas sobre el pacto cuando fue contactado el martes.

En el sitio de filtraciones de ShinyHunters, al que el medio original tuvo acceso, el grupo amenazaba con publicar los datos robados si la compañía no atendía su demanda de extorsión. Para el martes, la entrada ya había sido eliminada, un gesto que suele interpretarse como señal de que pudo haberse concretado un pago.

Un representante del grupo dijo que “los datos han sido eliminados, desaparecieron” y añadió que la empresa y sus clientes no volverían a ser objetivo ni serían contactados por ellos para exigir dinero. Sin embargo, esa promesa no puede verificarse de manera independiente con plena certeza.

Ese es precisamente el dilema central en este tipo de incidentes. Las víctimas pueden ganar tiempo o reducir presión inmediata mediante un acuerdo, pero a cambio quedan sujetas a la palabra de una organización criminal que ya demostró capacidad para entrar, robar y presionar.

Las advertencias oficiales y el precedente de PowerSchool

Gobiernos como el de Estados Unidos han insistido durante años en que las víctimas de ransomware o extorsión digital no deben pagar. La razón es simple: cada pago fortalece el modelo económico del cibercrimen y puede financiar nuevas operaciones contra otras organizaciones.

El FBI dijo la semana pasada que estaba “al tanto” de la interrupción de sistemas que afecta a escuelas e instituciones educativas en todo Estados Unidos. Aunque el aviso no mencionó a Canvas por su nombre, sí recomendó de forma expresa no enviar pagos ni responder a las exigencias de los ciberdelincuentes.

Investigadores de seguridad han advertido además que no siempre se puede confiar en la palabra de los atacantes. En varios casos, grupos criminales aseguraron haber borrado la información robada, pero luego conservaron copias para continuar con la extorsión o vender los datos a terceros.

El caso de Instructure recuerda lo ocurrido con PowerSchool en 2024. Esa empresa, también dedicada al software de información escolar, sufrió una filtración masiva que afectó a 70 millones de estudiantes y personal. Según el antecedente citado, PowerSchool pagó a los hackers para recuperar los datos robados, pero varios de sus clientes terminaron siendo extorsionados después por otro grupo criminal que exhibió información que supuestamente ya había sido destruida.

Qué se sabe sobre los datos expuestos y la respuesta de la empresa

Parte de los datos extraídos en el ataque a Instructure fue revisada por el medio original. Entre ellos había nombres de estudiantes, direcciones de correo electrónico personales y mensajes entre docentes y alumnos, con contenido sensible de naturaleza privada. Eso eleva el potencial impacto reputacional y legal del incidente.

Para escuelas, universidades y administradores de tecnología, la gravedad no se mide solo por la cantidad de registros comprometidos. También pesa el carácter de la información, la edad de muchos de los afectados y el hecho de que una plataforma educativa suele concentrar actividades cotidianas esenciales para miles de instituciones.

Instructure dijo que los clientes de Canvas no deberían tener que interactuar con los hackers. La afirmación sugiere que la compañía busca contener el riesgo de extorsiones secundarias contra escuelas individuales, aunque el historial reciente del sector muestra que esa protección no siempre puede garantizarse a largo plazo.

La empresa tampoco aclaró quién supervisa o asume la responsabilidad directa de la ciberseguridad, más allá de su director ejecutivo, Steve Daly. Al ser consultada, no quiso decir si Daly contempla renunciar tras las filtraciones de datos.

Ese silencio deja preguntas abiertas sobre la gobernanza interna de la seguridad en Instructure. En incidentes de esta escala, inversionistas, clientes institucionales y autoridades suelen observar no solo el ataque en sí, sino también la claridad del mando, la transparencia de la respuesta y la rendición de cuentas posterior.

Por ahora, el acuerdo con ShinyHunters puede haber reducido la amenaza inmediata de publicación o extorsión directa. Pero el episodio vuelve a exponer una debilidad crítica en la infraestructura digital del sector educativo: cuando plataformas con alcance masivo fallan, el daño no se limita a una empresa, sino que se extiende a escuelas, docentes, estudiantes y familias enteras.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados