Exámenes finales y estrés estudiantil: los estragos que dejó la interrupción de Canvas tras ciberataque

Las escuelas y universidades de todo el país se están recuperando de una interrupción que dejó fuera de servicio Canvas, una plataforma en línea que gestiona exámenes, apuntes, vídeos de clases y calificaciones. La interrupción, vinculada a un ciberataque, se produjo en pleno periodo de exámenes finales para muchas instituciones educativas, una época de gran estrés en la que estudiantes y profesores dependen en gran medida de la plataforma.

A última hora del jueves, Instructure, la empresa matriz de Canvas, anunció que la plataforma ya estaba disponible de nuevo para la mayoría de los usuarios.

El grupo de hackers ShinyHunters se atribuyó la responsabilidad de la brecha de seguridad, según Luke Connolly, analista de amenazas de la empresa de ciberseguridad Emsisoft. El viernes, Instructure y Canvas ya no aparecían en el sitio web donde ShinyHunters publica sus objetivos.

Sin embargo, algunas escuelas han seguido bloqueando el acceso de estudiantes y profesores a Canvas, alegando un exceso de precaución al evaluar las amenazas a la seguridad.

Esto es lo que debes saber sobre el apagón.

¿Qué es Canvas?

Las escuelas y universidades utilizan Canvas para gestionar prácticamente todos los aspectos de la enseñanza. La plataforma funciona como un registro de calificaciones, un centro para clases y materiales didácticos digitales, un foro de debate para proyectos de clase y una plataforma de mensajería entre estudiantes y profesores.

Algunos cursos también incluyen cuestionarios y exámenes en la plataforma, o la utilizan como portal donde se entregan los proyectos y trabajos finales dentro del plazo establecido.

¿Quiénes son ShinyHunters?

ShinyHunters es una asociación informal de hackers adolescentes y jóvenes adultos de Estados Unidos y el Reino Unido que han sido vinculados a otros ciberataques a gran escala, incluido uno contra Ticketmaster , según Connolly. En la página donde enumeran sus objetivos, el grupo se describe a sí mismo como "aprovechando los sistemas desde 2019", utilizando un término para referirse al acceso a la capa más profunda de un sistema informático.

A principios de esta semana, ShinyHunters afirmó que los datos de casi 9.000 escuelas y 275 millones de personas podrían filtrarse si las escuelas no pagaban el rescate antes del 6 de mayo. Posteriormente, el grupo extendió el plazo, indicando que algunas escuelas se habían puesto en contacto con ellos para negociar.

En un comunicado publicado en el sitio web de ShinyHunters, especializado en ransomware, el grupo afirmó que no haría comentarios sobre el incidente.

Las escuelas y universidades, ricas en información personal identificable de estudiantes, profesores y empleados, se han convertido en objetivos prioritarios para los ciberdelincuentes que realizan ataques de ransomware. Los objetivos pueden ser distritos escolares individuales, como las Escuelas Públicas de Minneapolis o el Distrito Escolar Unificado de Los Ángeles, o plataformas de proveedores externos como Canvas o PowerSchool, en las que los sistemas educativos confían cada vez más para gestionar horarios, cursos y exámenes.

El impacto en los estudiantes por el hackeo de Canvas

Aunque la mayoría de las escuelas parecen haber restablecido el acceso a Canvas, es probable que las interrupciones en el período de exámenes finales se extiendan a lo largo de la semana.

La Universidad de Massachusetts en Dartmouth anunció que pospondría los exámenes programados para el viernes y el sábado para garantizar que los estudiantes tuvieran tiempo de repasar el material del curso que no habría estado disponible durante el cierre.

La Universidad de Illinois pospuso todos los exámenes que estaban programados para realizarse el viernes, sábado o domingo para todas las clases, independientemente de si los cursos utilizaban Canvas.

El viernes, las Escuelas Públicas del Condado de Montgomery en Maryland continuaron limitando el acceso a Canvas, alegando una medida de precaución "mientras trabajamos para comprender mejor el impacto total del incidente y cualquier vulnerabilidad potencial relacionada con la información conectada a la plataforma".

¿Deberían preocuparse los estudiantes por la privacidad de sus datos?

La filtración de datos aparentemente afectó a los números de identificación de los estudiantes, las direcciones de correo electrónico, los nombres y los mensajes en la plataforma Canvas, según declaró Steve Proud, director de seguridad de la información de Instructure, en una actualización publicada el 2 de mayo. Proud afirmó que la empresa no había encontrado pruebas de que se hubieran visto comprometidas contraseñas, fechas de nacimiento, documentos de identidad gubernamentales o información financiera.

Aunque Canvas ya está de nuevo en línea, los expertos en ciberseguridad instan a los estudiantes y educadores afectados a mantenerse alerta.

Otros ciberdelincuentes podrían intentar aprovechar las consecuencias de la filtración mediante ataques de phishing adicionales. Cliff Steinhauer, director de seguridad de la información y participación de la Alianza Nacional de Ciberseguridad, advierte que alguien que se haga pasar por un distrito escolar, por ejemplo, podría enviar un mensaje malicioso solicitando a los usuarios que restablezcan su contraseña de Canvas.

“Desconfíe mucho de cualquier mensaje que reciba”, dijo Steinhauer, especialmente si se solicita una acción urgente.

Los expertos destacan que las grandes filtraciones de datos son un importante recordatorio para que los consumidores revisen las mejores prácticas de "higiene cibernética" en general.

Las medidas básicas incluyen crear contraseñas difíciles de adivinar, usar la autenticación multifactor cuando sea posible y monitorear las cuentas en línea para detectar cualquier actividad sospechosa. Además, la Comisión Federal de Comercio señala que las agencias de crédito nacionales, como Equifax, Experian y TransUnion, ofrecen bloqueos de crédito y alertas de fraude gratuitas que los consumidores pueden configurar para protegerse contra el robo de identidad y otros ataques maliciosos.