Un ataque informático sacudió a Canvas, una de las plataformas educativas más utilizadas por universidades y escuelas en Estados Unidos, generando alarma entre estudiantes, docentes e instituciones. El jueves, la herramienta sufrió un cierre momentáneo debido a una “actividad no autorizada” detectada por las autoridades y confirmada por la empresa desarrolladora, Instructure. Este suceso ha reavivado el debate sobre la seguridad en los entornos educativos digitales y la protección de datos personales de millones de usuarios.
El incidente comenzó el 29 de abril de 2026, cuando Instructure identificó una intromisión no autorizada en Canvas. Según detalló la compañía en un comunicado en su sitio web, la acción fue atribuida a un agente externo que aprovechó un problema relacionado con las cuentas gratuitas para profesores. La empresa señaló que, tras detectar la anomalía, revocó de inmediato el acceso de la parte no autorizada, inició una investigación interna y recurrió a expertos forenses externos para analizar la situación y determinar la magnitud de la brecha de seguridad.
La secuencia de acontecimientos no terminó ahí. El 7 de mayo de 2026, la empresa detectó actividad adicional vinculada al mismo incidente, lo que evidenció la persistencia del atacante y la complejidad del problema. En esta ocasión, el intruso logró modificar las páginas que aparecen cuando estudiantes y docentes acceden a Canvas, alterando directamente la experiencia de inicio de sesión y generando incertidumbre entre los usuarios. Ante esta nueva situación, Instructure optó por desactivar temporalmente la plataforma, poniéndola en modo de mantenimiento como medida preventiva. El objetivo fue contener la actividad anómala, investigar a fondo el incidente y reforzar las medidas de seguridad.
Durante el ataque del 29 de abril, los datos recopilados por el agente externo incluyeron información personal de los usuarios de las organizaciones afectadas. En concreto, la compañía detalló que la información extraída abarcó nombres completos, direcciones de correo electrónico, números de identificación de estudiantes y mensajes intercambiados entre usuarios en Canvas. Aunque esta información no incluye datos financieros ni gubernamentales, representa un riesgo significativo para la privacidad de los estudiantes y profesores afectados, ya que podría facilitar intentos de suplantación de identidad o ataques de ingeniería social.
Instructure se apresuró a aclarar los alcances de la brecha y tranquilizar a los usuarios respecto a la protección de datos más sensibles. Según la empresa,
“no hemos encontrado ninguna evidencia de que se hayan utilizado contraseñas, fechas de nacimiento, identificadores gubernamentales o información financiera”.
Esta afirmación buscó limitar la preocupación de la comunidad educativa sobre posibles usos indebidos de credenciales o datos bancarios, aunque los datos expuestos siguen siendo de carácter personal y pueden tener implicaciones graves en términos de privacidad.
La empresa reconoció que el origen del incidente residía en una vulnerabilidad asociada a las cuentas gratuitas para profesores, una función que ha sido parte esencial de la expansión y accesibilidad de Canvas en el ámbito educativo. Como consecuencia directa, Instructure tomó la decisión de cerrar temporalmente estas cuentas gratuitas, una medida que calificaron como “difícil”, pero necesaria para proteger la integridad de la plataforma y de sus usuarios. En palabras de la compañía, estas cuentas
“han sido una parte fundamental de nuestra plataforma y estamos comprometidos a resolver los problemas relacionados con ellas”.
El cierre temporal representa un desafío tanto para los docentes que dependían de esta modalidad como para la propia empresa, que debe equilibrar la seguridad con la apertura y la inclusión de la herramienta.
El cierre y la investigación se llevaron a cabo en un contexto de máxima alerta, con equipos internos y externos dedicados a revisar los sistemas, identificar posibles brechas adicionales y garantizar que no existieran nuevas amenazas activas en la infraestructura de Canvas. Instructure mantuvo a la comunidad informada a través de comunicados y actualizaciones, reiterando su compromiso con la seguridad y la transparencia durante todo el proceso.
Una vez finalizadas las labores de contención y refuerzo de la seguridad, Instructure informó que Canvas ya se encuentra completamente operativo y disponible para su uso. El restablecimiento de la plataforma marca una recuperación tras días de incertidumbre y demuestra la capacidad de reacción ante incidentes de ciberseguridad de gran escala. No obstante, el episodio deja en evidencia la importancia de mantener elevados estándares de vigilancia y actualización en los sistemas educativos digitales, que gestionan información sensible de millones de usuarios y constituyen la columna vertebral de la educación moderna.
Fuente: Infobae
