Instructure llega a un acuerdo con los piratas informáticos que lo violaron dos veces

Instructure, el creador del popular portal de información escolar Canvas, dijo el martes que había «llegado a un acuerdo» con los piratas informáticos que violaron sus sistemas dos veces, robaron una gran cantidad de datos de estudiantes y personal e interrumpieron miles de escuelas que dependen del software de la compañía.

ShinyHunters, un grupo de cibercrimen con motivación financiera, se atribuyó el mérito de la filtración de datos del 29 de abril, afirmando haber robado datos de estudiantes y personal, incluida información personal, de un total de 275 millones de personas. Los piratas informáticos dijeron que habían comprometido Canvas, que utilizan casi 9.000 escuelas para gestionar los datos y los trabajos de curso de sus estudiantes.

La semana pasada, los piratas informáticos violaron la empresa por segunda vez, desfigurando las páginas de inicio de sesión de Canvas en los sitios web de las escuelas, como parte de los esfuerzos para presionar a la empresa para que pagara su rescate.

Instructure dijo en su página de incidentes el lunes por la noche que, como parte del acuerdo, los piratas informáticos habían proporcionado pruebas de que los datos robados fueron destruidos y que los clientes de Canvas no serían extorsionados.

La empresa reconoció que «nunca hay una certeza total» al negociar con los ciberdelincuentes, pero señaló que los clientes no deberían tener que interactuar con los piratas informáticos.

Los términos financieros del acuerdo no fueron revelados e Instructure no dijo cuánto pagó a los piratas informáticos. El portavoz de Instructure, Brian Watkins, no respondió a una solicitud de comentarios ni respondió preguntas sobre el acuerdo cuando fue contactado el martes.

En una publicación en su sitio de filtración, que TechCrunch vio, ShinyHunters amenazaba con publicar los datos robados de Instructure si la empresa no pagaba su demanda de extorsión.

Hasta el martes, la lista había sido eliminada de la página de ShinyHunters, lo que indica que es posible que se haya pagado un rescate.

Un representante de ShinyHunters dijo a TechCrunch: «Los datos se eliminan, desaparecen. La empresa y sus [sic] Los clientes ya no serán atacados ni contactados para realizar pagos por nuestra parte”.

No está claro por qué Instructure pagó a los piratas informáticos. Los gobiernos, incluido Estados Unidos, han instado durante mucho tiempo a las víctimas de delitos cibernéticos a no pagar rescates a los piratas informáticos, ya que esto ayuda a los ciberdelincuentes a sacar provecho de sus ataques. Los investigadores de seguridad han argumentado que las víctimas no pueden confiar en la palabra de los piratas informáticos maliciosos: se ha descubierto que algunos ciberdelincuentes conservan datos robados a pesar de decir que los habían eliminado para poder seguir extorsionando a sus víctimas.

El ataque a Instructure refleja un ciberataque a PowerSchool, que se vio afectado por una filtración masiva de datos que afectó a 70 millones de estudiantes y personal en 2024. PowerSchool, que también fabrica software de información escolar, pagó a los piratas informáticos para que devolvieran los datos robados, pero varios de sus clientes fueron posteriormente extorsionados por otro grupo criminal que mostró datos de la filtración que no habían sido destruidos.

El FBI dijo en un comunicado la semana pasada que estaba “consciente” de la interrupción del sistema que afecta a escuelas e instituciones educativas en todo Estados Unidos. El aviso no nombraba a Canvas, pero sí mencionaba que las víctimas “no debían enviar pagos ni responder” a las demandas de los ciberdelincuentes.

Los datos robados de Instructure, algunos de los cuales TechCrunch ha visto, incluyen los nombres de los estudiantes, sus direcciones de correo electrónico personales y mensajes intercambiados por profesores y estudiantes, incluida información privada y personal.

En su sitio web, Instructure reconoció que los piratas informáticos habían violado los sistemas de la empresa dos veces en menos de un año, pero dijo que las dos violaciones fueron «eventos distintos» que involucraron sistemas diferentes.

Instructure dijo que todavía estaba investigando la violación y validando sus hallazgos.

No está claro quién en Instructure supervisa o es responsable de la ciberseguridad, si no el director ejecutivo de la empresa, Steve Daly. Cuando TechCrunch lo contactó, Instructure no dijo si Daly planea renunciar luego de las violaciones de datos.

¿Es usted un administrador de Canvas o una escuela notificada sobre la infracción? ¿Ha recibido una demanda de extorsión por parte de los piratas informáticos? Queremos saber de usted. Para contactar a este reportero de forma segura, comuníquese a través del nombre de usuario de Signal zackwhittaker.1337.