El Congreso de EE. UU. citó al CEO de Instructure para investigar dos hackeos recientes a la plataforma Canvas por parte del grupo ShinyHunters. La empresa admitió haber llegado a un acuerdo con los extorsionadores para evitar la filtración de datos de millones de usuarios. El incidente ocurrió debido a vulnerabilidades de seguridad que permitieron el acceso administrativo y afectaron a miles de instituciones educativas.




El Congreso de los EE. UU. ha convocado al CEO de la empresa de tecnología educativa Instructure, Steve Daly, al Capitolio para explicar cómo unos ladrones digitales vulneraron su plataforma en línea Canvas dos veces en un plazo de dos semanas.

En una carta enviada al gigante del aprendizaje digital el lunes por la noche —aproximadamente al mismo tiempo que Instructure afirmó haber llegado a un "acuerdo" con el grupo de extorsión ShinyHunters— el Comité de Seguridad Interior de la Cámara de Representantes de los EE. UU. "solicitó" que Daly o un "representante senior" programara una sesión informativa con el comité como parte de su investigación sobre los hackeos.

“La sesión informativa debe abordar las circunstancias de ambas intrusiones, la naturaleza y el volumen de los datos accedidos, las medidas que Instructure ha tomado y está tomando para contener la amenaza y notificar a las instituciones afectadas, y la adecuación de la coordinación de la empresa con las fuerzas del orden federales y CISA”, escribió el presidente del Comité de Seguridad Interior, Andrew Garbarino (R-NY) [PDF].

“Con estudiantes de más de 8.000 instituciones realizando exámenes finales y plazos de fin de semestre, la interrupción de una plataforma que la propia Instructure describe que sirve a más de 30 millones de usuarios activos a nivel mundial es un asunto de preocupación nacional”, dijo Garbarino.

También el lunes por la noche, el gigante de la tecnología educativa afirmó que "llegó a un acuerdo con el actor no autorizado implicado en este incidente". Tanto Instructure como ShinyHunters, la banda cibernética que afirmó haber robado datos que afectan hasta a 275 millones de estudiantes, profesores y personal, afirmaron que este “acuerdo” implicaba la eliminación de todos los archivos robados.

En otras palabras: la empresa pagó la demanda de extorsión no revelada antes de la fecha límite del martes, momento en el que ShinyHunters dijo que filtraría todos los registros de las 8.800 universidades, centros de educación superior y escuelas K-12.

"Recibimos una confirmación digital de la destrucción de datos (registros de trituración)", dijo Instructure, añadiendo "Se nos ha informado de que ningún cliente de Instructure será extorsionado como resultado de este incidente, ya sea públicamente o de otro modo".

Se ha sabido que ShinyHunters abusó de las vulnerabilidades XSS en el software de aprendizaje Free-for-Teacher de Canvas, y los errores permitieron a los ladrones de datos obtener acceso administrativo. Durante la primera intrusión, que Instructure detectó el 29 de abril, los extorsionadores afirmaron haber robado unos 3,6 TB de datos sin comprimir, incluidos nombres de usuario, direcciones de correo electrónico, nombres de cursos, información de inscripción y mensajes.

El 7 de mayo, los delincuentes volvieron a entrar en los sistemas de Canvas a través de la misma vulnerabilidad e inyectaron JavaScript con demandas de rescate directamente en cientos de portales de inicio de sesión de escuelas de Canvas, provocando que la empresa de tecnología educativa sacara la plataforma de línea durante un día, coincidiendo con los exámenes finales y las pruebas de Colocación Avanzada (AP) para muchos.

Este es el segundo incidente de seguridad conocido que involucra a ShinyHunters e Instructure en menos de un año. El grupo de extorsión también vulneró el entorno de Salesforce de Instructure en septiembre de 2025.

Instructure planea realizar un seminario web público el miércoles con el equipo de liderazgo “para detallar información sobre el ciberataque y nuestras actividades para reforzar el sistema”, que se llevará a cabo en “múltiples zonas horarias”.

Fuente:
TheRegister