Hackean la plataforma educativa Canvas y afectan a 9.000 universidades y escuelas de todo el mundo

Un ciberataque masivo dejó fuera de servicio la plataforma educativa Canvas, utilizada por unas 9.000 instituciones en todo el mundo, generando interrupciones en exámenes y trabajos finales en plena temporada alta académica. El incidente ha tenido un fuerte impacto en universidades y escuelas de Estados Unidos, Canadá y Australia.

El grupo de hackers ShinyHunters se atribuyó la responsabilidad del ataque. La empresa Instructure, propietaria de Canvas, confirmó que la plataforma experimentó graves interrupciones, aunque el jueves por la noche aseguró que el servicio estaba disponible para la mayoría de los usuarios. Varias universidades, sin embargo, continuaban reportando problemas el viernes, según informó la BBC.

La magnitud del ataque se reflejó en la afectación a cerca de 9.000 escuelas y universidades en distintos continentes. El grupo exigió un rescate en bitcoins y amenazó con publicar los datos sustraídos si no recibía el pago. “Shiny Hunters ha vulnerado Instructure (de nuevo)”, fue el mensaje que apareció en las pantallas de estudiantes y profesores, junto a instrucciones para negociar el rescate.

Universidades paralizadas y exámenes suspendidos

La Universidad Estatal de Mississippi pospuso los exámenes finales para dar margen a los estudiantes de recuperar el trabajo perdido. Aubrey Palmer, estudiante de meteorología, relató al medio británico que tras terminar un ensayo de casi 3.000 palabras vio la nota de rescate y pensó que el ataque era individual. “Mi primera reacción fue pensar que me habían hackeado a mí también, porque eso era lo que parecía”, explicó Palmer, quien luego comprobó que el problema afectaba a toda la plataforma.

El desconcierto y la frustración se propagaron rápidamente entre los alumnos. Palmer afirmó que muchos temieron tener que repetir exámenes y que la universidad comenzó a comunicarse por correo electrónico para reprogramar pruebas y advertir que debían ignorar mensajes sospechosos.

En Australia, la Universidad de Sídney notificó a sus estudiantes que Canvas no estaba disponible y les pidió evitar iniciar sesión. “Somos una de las aproximadamente 9.000 instituciones de todo el mundo afectadas por esta interrupción del servicio, y todavía estamos esperando instrucciones de Instructure”, comunicó la universidad en su sitio web. El problema coincidió con un momento crítico del semestre, afectando exámenes y entregas de trabajos finales.

Otras instituciones como la Universidad Estatal de Idaho y la Universidad Estatal de Pensilvania también suspendieron exámenes y actividades académicas programadas, según detalló BBC. En la Universidad de Columbia Británica, en Canadá, la administración aconsejó a los estudiantes cerrar sesión y mantenerse informados mientras la empresa matriz de Canvas respondía al incidente.

Amenazas de filtración y temor entre los estudiantes

El ataque incluyó el envío de mensajes directos a estudiantes y profesores, con amenazas explícitas sobre la publicación de datos robados. Jacques Abou-Rizk, estudiante de maestría en la Universidad Northwestern, describió el desconcierto tras recibir un correo electrónico aparentemente enviado por la administración, que en realidad contenía el mensaje del grupo atacante. “No sabía lo que estaba pasando. Es un mensaje aterrador de recibir”, dijo Abou-Rizk.

La universidad informó que monitoreaba la situación y comunicó que no había un tiempo estimado para el restablecimiento del servicio. El estudiante expresó su ansiedad al desconocer el alcance de la amenaza: “No sé qué datos se publicarán, y eso me asusta”.

El Chicago Maroon, periódico estudiantil de la Universidad de Chicago, publicó capturas de pantalla del mensaje de ShinyHunters, donde se solicitaba contactarse para negociar y evitar la filtración de información sensible. El mismo mensaje fue reportado en otras instituciones, reforzando la presión sobre los centros educativos durante la crisis.

ShinyHunters ya había sido vinculado a ciberataques de alto perfil, como el caso de Jaguar Land Rover en 2023, que causó graves consecuencias económicas. De acuerdo con TechCrunch, las amenazas de publicar datos comenzaron el domingo 3 de mayo, con plazos que se extendían hasta el 12 de mayo.

El grupo no especificó qué haría con los datos robados en este último ataque. Ante la gravedad del incidente, el líder demócrata del Senado estadounidense, Chuck Schumer, envió una carta a la administración Trump solicitando reforzar las defensas contra riesgos cibernéticos, en particular ante el avance de la inteligencia artificial. El Departamento de Seguridad Nacional fue instado a asistir a los estados y localidades “antes de que los estadounidenses se vean afectados por cortes de energía, interrupciones y ataques que podrían poner en riesgo vidas y medios de subsistencia”.