El grupo ShinyHunters ha atacado a Instructure, la empresa creadora del sistema de gestión de aprendizaje Canvas LMS. La brecha, detectada el 29 de abril de 2026 y confirmada a principios de mayo, resultó en la exposición de nombres de usuario, correos electrónicos, números de identificación de estudiantes y algunos mensajes privados.

El infame grupo  ShinyHunters ha vuelto a atacar, esta vez dirigiéndose a Instructure, la empresa detrás del Sistema de Gestión de Aprendizaje (LMS) Canvas. A principios de mayo de 2026, Instructure confirmó una actividad no autorizada en su plataforma Canvas tras detectar un acceso sospechoso el 29 de abril de 2026.

La brecha expuso nombres de usuario, direcciones de correo electrónico, números de identificación de estudiantes y algunos mensajes privados intercambiados entre usuarios de Canvas en miles de escuelas de todo el mundo.

Esta no es la primera vez que ShinyHunters va tras Instructure. El grupo ya había atacado a la empresa en septiembre de 2024, utilizando tácticas de ingeniería social para comprometer los sistemas empresariales de Salesforce, aunque aquel ataque no afectó a ningún dato de los productos de Canvas.

El incidente de mayo de 2026 es un asalto directo a la propia plataforma Canvas, lo que lo hace mucho más grave para los millones de estudiantes y educadores que dependen de ella a diario. Los dos incidentes también representan diferentes clases de ataque contra partes separadas de la infraestructura de Instructure.

Investigadores y analistas de inteligencia de amenazas de Bitdefender documentaron el patrón operativo de ShinyHunters como el de un grupo de "extorsión como servicio", que históricamente depende del phishing de voz y la ingeniería social para obtener el acceso inicial, a menudo suplantando al soporte de TI o al personal interno de confianza.

El grupo lanzó una campaña de extorsión pública el 3 de mayo de 2026, estableciendo un plazo original hasta el 8 de mayo, que posteriormente se extendió hasta el 12 de mayo de 2026. Instructure puso fuera de línea Canvas, Canvas Beta y Canvas Test para su investigación el 8 de mayo, restableció el servicio al día siguiente y cerró permanentemente el programa de cuentas "Free-For-Teacher" como parte de su respuesta.

El programa Free-For-Teacher fue explotado

ShinyHunters afirma haber robado 3,6 TB de datos que abarcan aproximadamente a 285 millones de usuarios en 9.000 escuelas, aunque Instructure no ha confirmado esas cifras. Lo que la empresa confirmó oficialmente incluye nombres, direcciones de correo electrónico, identificaciones de estudiantes y algunos mensajes privados entre usuarios de Canvas.

Instructure declaró que no hay evidencia de exposición de contraseñas, fechas de nacimiento, identificadores gubernamentales o información financiera. Entre las instituciones afectadas se encuentran la Universidad de Pensilvania, Harvard, MIT, Oxford, Rutgers, el sistema de la Universidad de Carolina del Norte, múltiples colegios de Missouri y organizaciones educativas en Australia y la UE.

El programa de cuentas Free-For-Teacher permitía a los educadores crear cuentas de Canvas sin verificación institucional, dándoles acceso a las funciones de Canvas para uso en el aula. Estas cuentas funcionaban en la misma infraestructura de producción de Canvas compartida con los clientes institucionales de pago, lo que significa que estaban separadas lógicamente pero respaldadas por los mismos sistemas.

ShinyHunters explotó este vacío, y un atacante que utilizó una cuenta gratuita comprometida presentó patrones de acceso indistinguibles de los de un profesor legítimo que estuviera probando Canvas antes de que su escuela adoptara la plataforma.

Las escuelas no tenían una forma nativa de identificar qué cuentas de Free-For-Teacher accedieron a su instancia institucional de Canvas, ya fuera a través de integraciones legítimas de cursos o actividad maliciosa durante la ventana de exposición. Dicha ventana fue del 30 de abril al 8 de mayo de 2026, momento en el que Instructure cerró el programa y rotó las credenciales privilegiadas y las claves API.

El atacante obtuvo acceso no autorizado a los datos de producción de Canvas y potencialmente logró un acceso de escritura suficiente para desfigurar las páginas de inicio de sesión en múltiples instituciones. Los datos robados, incluidos los ID de estudiantes, correos electrónicos y el contenido de mensajes privados, representan material de alta calidad para campañas de phishing personalizado dirigidas a estudiantes y profesorado.

El riesgo de phishing más amplio que se avecina

El riesgo no termina una vez que se cierra la ventana de la brecha. Los datos robados de Canvas son particularmente peligrosos porque permiten campañas de spear phishing altamente convincentes que los ataques genéricos simplemente no pueden replicar.

Un correo electrónico que haga referencia a un curso específico de Canvas, que cite un mensaje privado real de Canvas o que incluya el ID de estudiante real del destinatario establece una credibilidad falsa que puede engañar incluso a los usuarios más precavidos.

Instructure ha recomendado que las escuelas roten las credenciales de la API, monitoreen la aparición de correos de phishing que parezcan provenir de Canvas, revisen las páginas de inicio de sesión en busca de cambios no autorizados y alerten inmediatamente a estudiantes, profesorado y personal. Las escuelas también deben revisar los registros de Canvas para buscar cuentas con direcciones de correo electrónico externas que hayan accedido a cursos o mensajes durante la ventana de exposición del 30 de abril al 8 de mayo.

Los clientes de Bitdefender MDR cuyas instituciones aparecieron en la lista de divulgación de ShinyHunters fueron notificados directamente con las acciones recomendadas. Se continúa monitoreando el ciclo completo de divulgación en caso de que surjan datos adicionales de Canvas en los canales de los actores de amenazas.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios están desactivados intencionadamente (ej. [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.