La empresa de tecnología educativa Instructure, propietaria de Canvas, llegó a un acuerdo con el grupo cibercriminal ShinyHunters tras el robo de 3.65 TB de datos de unas 9,000 instituciones. La compañía decidió pagar un rescate para evitar la filtración de 275 millones de registros y asegurar la destrucción de la información robada. Actualmente, trabajan en mejorar su seguridad y advierten sobre posibles campañas de phishing dirigidas a estudiantes y personal afectado.

La empresa estadounidense de tecnología educativa Instructure, empresa matriz de Canvas, afirmó que llegó a un "acuerdo" con un grupo de extorsión de ciberdelincuencia descentralizado después de que este vulnerara su red y amenazara con filtrar información robada de miles de escuelas y universidades.

En una actualización compartida el lunes, la firma con sede en Utah dijo que "llegó a un acuerdo con el actor no autorizado involucrado en este incidente", citando "preocupaciones sobre la posible publicación de datos".

Al tomar la controvertida decisión de pagar un rescate para evitar una filtración, la empresa afirmó que el acuerdo cubre a todos sus clientes afectados y que los datos robados le fueron devueltos, junto con una confirmación digital de la destrucción de los mismos. También señaló que se le ha informado que ninguno de los clientes de la empresa será extorsionado por separado como resultado del hackeo.

"Si bien nunca hay una certeza completa al tratar con ciberdelincuentes, creemos que era importante tomar todas las medidas bajo nuestro control para brindar a los clientes una tranquilidad adicional, en la medida de lo posible", dijo Instructure aquí.

También afirmó que está trabajando con proveedores expertos para apoyar su análisis forense, mejorar su postura de ciberseguridad y realizar una revisión exhaustiva de los datos implicados.

La revelación se produce después de que el grupo de extorsión ShinyHunters lanzara un ataque digital contra Canvas, un popular sistema de gestión de aprendizaje basado en la web, a finales del mes pasado, resultando en el robo de 3,65 TB de datos. El incidente afectó a casi 9.000 organizaciones.

Aunque se asumió que la brecha estaba inicialmente contenida, el 7 de mayo de 2026 se detectó una segunda ola de actividad no autorizada vinculada al mismo incidente, desfigurando los portales de inicio de sesión de Canvas con mensajes de extorsión en aproximadamente 330 instituciones y dando a Instructure un plazo hasta el 12 de mayo de 2026 para negociar un rescate o arriesgarse a una filtración de datos.

Se dice que los atacantes aprovecharon una vulnerabilidad no especificada "relacionada con los tickets de soporte" en su entorno Free-for-Teacher para obtener acceso inicial y extraer unos 275 millones de registros que contienen nombres de usuario, direcciones de correo electrónico, nombres de cursos, información de inscripción y mensajes. Instructure ha enfatizado que el contenido de los cursos, los envíos y las credenciales no se vieron comprometidos.

A raíz de la brecha, Instructure ha cerrado temporalmente las cuentas de Free-For-Teacher. La empresa no reveló la naturaleza de la vulnerabilidad, pero dijo que revocó credenciales privilegiadas y tokens de acceso para los sistemas afectados, rotó claves internas, restringió las vías de creación de tokens y desplegó controles de seguridad adicionales.

"Los datos exfiltrados proporcionan a los actores de amenazas suficiente contexto personal para llevar a cabo campañas de phishing dirigidas contra el personal, los estudiantes y los padres por igual", dijo Halcyon.

"Los registros filtrados pueden usarse para suplantar a administradores escolares, soporte de TI u oficinas de ayuda financiera en ataques posteriores. Los estudiantes, padres y personal de las instituciones afectadas deben ser considerados, y las instituciones deben emitir avisos de phishing y comunicaciones directas de inmediato".

Fuente:
THN