«Solo usamos el botón de exportar»: ciberdelincuentes vulneraron una plataforma con 280 millones de estudiantes — y lo hicieron casi legalmente

Los hackers afirmaron haber vulnerado una de las mayores plataformas educativas del mundo y el robo de datos de cientos de millones de estudiantes y docentes. Según el grupo ShinyHunters, de la infraestructura de la empresa Instructure se habrían sustraído alrededor de 280 millones de registros relacionados con 8.809 instituciones educativas y servicios educativos.

Instructure es conocida sobre todo por el sistema de aprendizaje a distancia Canvas. La plataforma la utilizan escuelas, colegios y universidades para publicar tareas, revisar trabajos, poner calificaciones y comunicarse con los estudiantes. La semana pasada la empresa informó que investigaba un ciberataque, y más tarde confirmó la fuga de datos. Como resultado del incidente, los atacantes obtuvieron acceso a los nombres de usuario, direcciones de correo electrónico y mensajes privados.

La responsabilidad del ataque la asumió el grupo extorsionista ShinyHunters. Los hackers afirman haber exportado los datos de estudiantes, profesores y empleados de las instituciones educativas mediante las herramientas de exportación integradas de Canvas. Entre ellas se mencionan las solicitudes DAP, los informes de usuarios y las interfaces de programación de aplicaciones (API). Según los atacantes, el volumen total de información robada ascendió a cientos de gigabytes.

Declaración sobre el hackeo en el sitio de ShinyHunters (BleepingComputer)

Los hackers también publicaron una lista de organizaciones que supuestamente fueron afectadas por la fuga. En la lista figuran universidades, distritos escolares y plataformas educativas. Para cada organización se indica el número estimado de registros —desde decenas de miles hasta varios millones. No se han publicado los nombres de las instituciones porque la autenticidad de las declaraciones de ShinyHunters aún no ha sido verificada.

Algunas universidades ya han comenzado a advertir a estudiantes y empleados sobre las posibles consecuencias del ataque. En la University of Colorado Boulder informaron que la fuga afectó a varias instituciones educativas en todo el país. En Rutgers University indicaron que por ahora no han detectado señales de compromiso del campus y que la plataforma Canvas continúa funcionando con normalidad. En Tilburg University informaron que siguen investigando si los datos de estudiantes y empleados llegaron a manos de los atacantes.