Canvas Hack es un nuevo tipo de debacle de ransomware

La educación superior ha sido durante mucho tiempo un objetivo de bandas de ransomware y ataques de extorsión de datos. Pero nunca antes, tal vez, un ciberataque contra una única plataforma de software había interrumpido tan a fondo las operaciones diarias de miles de escuelas estadounidenses.

La plataforma de aprendizaje digital, ampliamente utilizada, Canvas, se puso en "modo de mantenimiento" el jueves después de que su creador, el gigante tecnológico educativo Instructure, sufriera una violación de datos y se enfrentara a un intento de extorsión por parte de atacantes que utilizaban el apodo reconocible "ShinyHunters". Aunque los piratas informáticos han anunciado el incumplimiento y han intentado extraer un pago de rescate de Instructure desde el 1 de mayo, la situación adquirió una inmediatez adicional para la gente normal de EEUU y más allá el jueves porque el tiempo de inactividad de Canvas causó caos en las escuelas, incluidas las que se encontraban en medio de las tareas.

Universidades como Harvard, Columbia, Rutgers y Georgetown enviaron alertas a los estudiantes sobre la situación en los últimos días; otras instituciones, incluidos los distritos escolares de al menos una docena de estados, también parecen haberse visto afectados. En una lista publicada por los piratas informáticos detrás del ataque a su sitio web oscuro centrado en el rescate, afirman que el incumplimiento afectó a más de 8.800 escuelas. Sin embargo, la escala y el alcance exactos del incumplimiento no están claros. Y el hecho de que Canvas estuviera caído durante todo el jueves por la tarde y por la noche complicó aún más el panorama.

En un registro de actualización de incidentes en funcionamiento que comenzó el pasado 1 de mayo, Steve Proud, responsable de seguridad de la información de Instructure, dijo que la empresa había "vivido recientemente un incidente de ciberseguridad perpetrado por un actor de amenaza criminal". Añadió el 2 de mayo que "la información implicada" para los "usuarios de las instituciones afectadas" incluía nombres, direcciones de correo electrónico, números de identificación de estudiantes y mensajes intercambiados por los usuarios en la plataforma.

Por último, la situación se marcó como "Resuelta" el miércoles, y Proud escribió que "Canvas está totalmente operativo y no vemos ninguna actividad no autorizada en curso". A mediodía del jueves, sin embargo, la página de estado de la Instrucción registró un "problema" donde "algunos usuarios tienen dificultades para iniciar sesión en Student ePortfolios". En pocas horas, la empresa había añadido otra actualización de estado: "Instructure ha puesto Canvas, Canvas Beta y Canvas Test en modo de mantenimiento". El jueves por la noche, la compañía dijo que Canvas volvía a estar disponible "para la mayoría de los usuarios".

TechCrunch informó el jueves de que los piratas informáticos lanzaron una ola secundaria de ataques, desfigurando los portales Canvas de algunas escuelas inyectando un archivo HTML para mostrar su propio mensaje en las páginas de inicio de sesión de Canvas de las escuelas. Según The Harvard Crimson, los atacantes modificaron la página de inicio de sesión de Harvard Canvas para mostrar un mensaje que incluía una lista de escuelas que los piratas informáticos afirman ver afectadas por la violación.

El mensaje de los atacantes "instaba a las escuelas incluidas en la lista de afectados a consultar con una empresa de asesoramiento cibernético y contactar con el grupo de forma privada para negociar un acuerdo antes del fin del día del 12 de mayo, o de lo contrario, arriesgarse a filtrar sus datos", informó The Crimson. "No está claro qué información relacionada con las filiales de Harvard se incluyó en la supuesta violación".

Instructure no respondió de inmediato a una solicitud de comentarios sobre las interrupciones del jueves y cómo encajan en el panorama general del incumplimiento. Pero la situación es significativa dado que se ha expuesto potencialmente una gran cantidad de información de estudiantes, y la visibilidad del incidente en todo el país le convierte en un ejemplo clave de un problema de extorsión de datos y ataques de ransomware de larga fecha, pero que aumenta sin cesar.

El nombre de ShinyHunters está asociado con vertidos de datos masivos y se ha relacionado con el famoso colectivo de piratas informáticos conocido como Com. Pero a medida que la constelación de actores ha cambiado a lo largo de los años, numerosos atacantes han adoptado los apodos más destacados relacionados con Com. Varios ataques recientes han invocado a otros nombres, como Lapsus$, con poca o ninguna conexión con el grupo original que operaba con el nombre.