Hackeo masivo a Canvas LMS pone en riesgo a 275 millones de usuarios
Tras el hackeo de la empresa matriz de Canvas, Instructure, el sitio se encuentra retenido, afectando a una serie de estudiantes y profesionales
os hackers han dado un ultimátum hasta el 12 de mayo de 2026 para que Instructure pague el "rescate"
Lo que debes saber
- Canvas LMS (Learning Management System) es una plataforma de gestión de aprendizaje basada en la nube, utilizada por escuelas y universidades para crear aulas virtuales.
- ShinyHunters es un grupo criminal de hackers y extorsionadores que habría estado involucrado en un número significativo de filtraciones de datos, caracterizados por extorsionar a la empresa que ha hackeado.
- El grupo ha estado detrás de filtraciones de datos en plataformas como Pluto TV, Wattpad y Ticketmaster.
El sector educativo global enfrenta uno de sus desafíos más críticos en materia de ciberseguridad de los últimos años, puesto que la empresa Instructure, matriz de la plataforma de gestión de aprendizaje Canvas LMS, ha confirmado una brecha de datos masiva que ha dejado expuesta la información personal de millones de estudiantes, docentes y personal administrativo en todo el mundo.
Ciencia y Tecnología
Guía para evitar estafas por WhatsApp y Phishing bancario en Ecuador
Gabriela Alejandra Echeverria Vásquez
Lo que comenzó como una interrupción técnica en el acceso a las aulas virtuales se ha transformado rápidamente en un caso de extorsión digital a gran escala, tras confirmarse que el sitio fue comprometido por un grupo de atacantes que actualmente exigen un rescate millonario. La gravedad del incidente radica no solo en el volumen de información sustraída, sino en el momento estratégico elegido para el ataque.
Con miles de instituciones académicas en proceso de cierre de semestre y semana de exámenes finales, la caída del sistema y la alteración de su interfaz principal han generado un caos administrativo sin precedentes. Mientras la compañía trabaja contrarreloj para contener la brecha, los atacantes han escalado la presión mediante el "defacement" de la plataforma, sustituyendo los portales de inicio de sesión por notas de rescate dirigidas directamente a la comunidad educativa.
Pero, quiénes estás detrás del ataque
El grupo de ciberdelincuentes conocido como ShinyHunters se ha atribuido la autoría del hackeo; este grupo es reconocido internacionalmente por haber vulnerado anteriormente infraestructuras de empresas de alto perfil. Según las declaraciones publicadas por los atacantes en foros especializados, lograron acceder a los servidores de la nube de Amazon (AWS) donde se aloja Canvas, extrayendo aproximadamente 3.65 terabytes de datos confidenciales.
El impacto del ataque se divide en dos frentes principales: la operatividad académica y la privacidad de los datos.
Comunicado de Shinyhunters en el portal web de Canvas LMS
- Parálisis Académica: Al verse comprometida la integridad del sitio, muchas universidades se vieron obligadas a desconectar sus servidores, lo que resultó en la suspensión de exámenes finales y la pérdida de acceso a materiales de estudio críticos.
- Filtración de Mensajería Privada: Aunque Instructure ha intentado calmar a los usuarios afirmando que los datos bancarios están seguros, los hackers aseguran poseer billones de mensajes internos. Esto incluye comunicaciones privadas entre alumnos y profesores que podrían contener información sensible sobre salud, situaciones familiares o evaluaciones académicas confidenciales.
Ecuador
ANT descarta hackeo a sus sistemas y alerta sobre posible estafa con SMS en Ecuador
IVONNE MANTILLA
- Exposición de Identidades: Nombres completos, correos electrónicos institucionales y números de identificación estudiantil de más de 9,000 instituciones ya están en manos de los atacantes.
Un ultimátum de rescate
Los atacantes han establecido una fecha límite: el 12 de mayo de 2026. Si para esa fecha la empresa no accede al pago del rescate, ShinyHunters amenaza con vender la base de datos completa al mejor postor en la "dark web" o liberarla públicamente. Este tipo de táctica, conocida como doble extorsión, busca forzar a la empresa a pagar no solo para recuperar el acceso, sino para evitar el daño reputacional y legal que supondría la filtración masiva de datos de menores de edad y universitarios.
Por otro lado, expertos en ciberseguridad instan a la comunidad educativa a tomar precauciones inmediatas mientras se resuelve el conflicto:
Portal web de Shinyhunters, en mayo de 2026
- Cambio de credenciales: Modificar contraseñas de correos institucionales y cualquier cuenta que comparta la misma clave de Canvas.
- Desconfiar de comunicaciones externas: Ignorar cualquier correo que solicite datos adicionales para "recuperar la cuenta", ya que podría tratarse de campañas de phishing derivadas del mismo hackeo.
- Monitoreo de actividad: Estar atentos a cualquier intento de inicio de sesión inusual en cuentas vinculadas a servicios educativos.
Más historias
Más visto