Instructure, creador del popular portal de información escolar Canvas, anunció el martes que había «llegado a un acuerdo» con los piratas informáticos que violaron dos veces sus sistemas, robaron grandes cantidades de datos de estudiantes y profesores e interrumpieron las miles de escuelas que dependen de su software.
El grupo cibercriminal ShinyHunters, con fines financieros, se atribuyó la responsabilidad de la filtración de datos del 29 de abril, afirmando que robó los datos de un total de 275 millones de estudiantes, profesores y personal, incluida información personal. Los piratas informáticos dijeron que habían violado Canvas, que utilizan unas 9.000 escuelas para gestionar los datos y las clases de los estudiantes.
Los piratas informáticos violaron la empresa por segunda vez la semana pasada al desfigurar la página de inicio de sesión del sitio web de la escuela Canvas como parte de un esfuerzo por obligar a la empresa a pagar un rescate.
Instructure dijo en su página de incidentes el lunes por la noche que, como parte del acuerdo, los piratas informáticos proporcionaron pruebas de que los datos robados serían destruidos y que los clientes de Canvas no serían extorsionados.
La empresa reconoció que «nunca hay una certeza total» al negociar con los ciberdelincuentes, pero señaló que los clientes no necesitan interactuar con los piratas informáticos.
Los términos financieros del acuerdo no fueron revelados e Instructure no dijo cuánto pagó a los piratas informáticos. El portavoz de Instructure, Brian Watkins, se negó a hacer comentarios más allá de la declaración de la compañía ni a responder preguntas sobre el acuerdo cuando fue contactado el martes.
En una publicación en el sitio de filtración vista por TechCrunch, ShinyHunters amenazó con revelar datos robados tomados de Instructor a menos que Instructor pagara sus demandas de extorsión.
A partir del martes, la lista se eliminó de la página de ShinyHunters, lo que indica que es posible que se haya pagado un rescate.
Un representante de ShinyHunters le dijo a TechCrunch: «Los datos han sido eliminados y desaparecidos. La empresa y sus (sic) clientes ya no serán el objetivo ni se les solicitará el pago».
No está claro por qué Instructor pagó a los piratas informáticos. Los gobiernos, incluido Estados Unidos, han instado durante mucho tiempo a las víctimas de delitos cibernéticos a no pagar rescates a los piratas informáticos. Esto se debe a que los ciberdelincuentes pueden beneficiarse de los ataques. Los investigadores de seguridad sostienen que las víctimas no pueden creer las palabras de los piratas informáticos maliciosos. Se ha descubierto que algunos ciberdelincuentes conservan datos robados, aunque afirmaban haberlos eliminado para seguir extorsionando a las víctimas.
El ataque a su infraestructura refleja el ciberataque a Power School, que sufrió una filtración masiva de datos en 2024 que afectó a 70 millones de estudiantes, profesores y personal. PowerSchool, que también fabrica software de información escolar, pagó a los piratas informáticos para que devolvieran los datos robados, pero luego algunos de sus clientes fueron chantajeados por otro grupo criminal que les mostró datos de la violación que no fueron destruidos.
El FBI dijo en un comunicado la semana pasada que está «consciente» de las fallas del sistema que afectan a las escuelas e instituciones educativas de todo el país. El aviso no nombra a Canvas, pero afirma que las víctimas «no deben enviar dinero ni responder» a las solicitudes del ciberdelincuente.
Los datos robados de In Structure, algunos de los cuales TechCrunch ha visto, incluyen nombres de estudiantes, direcciones de correo electrónico personales y mensajes intercambiados entre profesores y estudiantes, incluida información privada y personal.
Instructure reconoció en su sitio web que los piratas informáticos habían violado sus sistemas dos veces en un año, pero dijo que las dos violaciones fueron «eventos separados» que involucraron sistemas diferentes.
Instructor dijo que todavía está investigando la violación y verificando sus hallazgos.
No está claro quién supervisa o es responsable de la ciberseguridad además del director ejecutivo de Instructure, Steve Daley. Cuando TechCrunch lo contactó, Infrastructure se negó a decir si Daly planea renunciar a raíz de la violación de datos.
¿Su administrador de Canvas o su escuela han sido notificados de una infracción? ¿Ha recibido una solicitud de extorsión por parte de un hacker? Queremos saber de usted. Para contactar a este reportero de manera segura, contáctenos a través del nombre de usuario de Signal zackwhittaker.1337.
Actualizado con respuesta del instructor.
Si compra a través de enlaces en nuestros artículos, podemos ganar una pequeña comisión. Esto no afecta la independencia editorial.
Source link
