Brecha de datos de Canvas (Instructure): se filtraron inscripciones en cursos y mensajes — qué deben hacer estudiantes, docentes y centros educativos

Instructure entrega los datos por institución, a los contactos de seguridad que cada centro registró, e indica a estudiantes y familias que dirijan sus preguntas a su centro. Si te preocupa, contacta con el departamento de TI o la secretaría académica de tu centro.

Si un centro decide que se requiere un aviso individual, Instructure se ofrece a enviarlo en nombre del centro a través de un proveedor externo, y en algunos lugares el aviso puede incluir un servicio gratuito de vigilancia de identidad (24 meses). Si recibes un aviso así, comprueba que el mismo aviso aparece en la web oficial o el portal de tu centro antes de actuar.

Con nombres, direcciones de correo y cursos en los que se está inscrito, es fácil escribir mensajes convincentes sobre «volver a entregar una tarea», «consultar tu calificación», «actualizar tu matrícula» o «disculpas y compensación por la brecha de datos». No inicies sesión desde enlaces de correos o SMS; abre tú mismo la dirección de Canvas o la app que usa tu centro. Nunca des una contraseña ni un código MFA en respuesta a un mensaje (consulta ¿Qué es el phishing?).

Los mensajes están entre los campos afectados. Si alguna vez enviaste por un mensaje de Canvas una contraseña, el acceso a otro servicio, tu dirección o teléfono, o asuntos de salud o familiares, da por hecho que ese contenido puede ser conocido. En el caso de contraseñas y accesos, cámbialos ya en ese servicio; en el caso de asuntos personales, prepárate para ignorar cualquier contacto que los use como cebo.

Instructure dice que no tiene pruebas de que las credenciales se vieran comprometidas. Aun así, recomienda cambiar las contraseñas, sobre todo a los usuarios que no usan SSO ni MFA. Si tu contraseña de Canvas se usa en otro sitio, sepáralas. Si tu centro ofrece MFA, actívalo (Cómo elegir un gestor de contraseñas / Cómo elegir MFA).

Los nombres de cursos y los datos de inscripción facilitan escribir mensajes que suplantan a un docente ante los estudiantes, o a estudiantes o personal ante un docente. Diles a los estudiantes que las comunicaciones del curso solo llegan por canales fijos, como los Anuncios dentro de Canvas, para que puedan desconfiar de todo lo demás.

Las conversaciones entre docentes y estudiantes están entre los campos afectados. Si mensajes anteriores incluían adaptaciones para estudiantes, problemas de salud o circunstancias familiares, informa al departamento de TI o de privacidad de tu centro. Según Instructure, es el centro quien decide si los usuarios finales necesitan un aviso, y los centros pueden tener que revisar esa decisión cuando termine la revisión de los mensajes. El docente que escribió los mensajes es quien sabe lo que contienen.

A partir de ahora, gestiona todo lo que haría daño si se filtrara, como contraseñas o circunstancias personales, por un canal que designe tu centro. La mensajería del LMS es para comunicarse sobre el curso, no un lugar para guardar secretos.

Canvas se puso en modo de mantenimiento el 7 de mayo y la docencia de final de semestre se vio afectada. Instructure señala que las herramientas de exportación de cursos y las API permiten guardar datos fuera de Canvas. Exportar tus cursos al final de cada periodo reduce el impacto la próxima vez que el servicio no esté disponible. Free-for-Teacher se ha cerrado definitivamente, y los plazos para descargar materiales (28–29 de mayo y 28–29 de julio) ya han terminado.

Instructure entrega los datos de cada institución afectada a un máximo de dos contactos de seguridad registrados en la configuración de la cuenta de Canvas. Los contactos deben ser personas, no buzones compartidos ni listas de distribución, y las instituciones con varias instancias de Canvas necesitan contactos para cada una. No hay fecha límite estricta; la empresa dice que envía datos a los nuevos contactos cada dos semanas.

El enlace de entrega caduca a los 30 días, así que descarga los archivos si necesitas conservarlos. Si no ha llegado nada, Instructure da tres posibles motivos (no hay contacto registrado, solo hay datos de mensajes y todavía están pendientes, o una revisión posterior no encontró registros de usuarios de tu institución) y confirmará cuál es el caso si se lo preguntas.

Instructure considera que la mayoría de las jurisdicciones no exigen aviso individual por los datos de usuario y de aprovisionamiento, pero si un centro decide que se requiere, Instructure coordinará las notificaciones a través de un proveedor externo solo después de que el centro dé su consentimiento. Los datos de mensajes se revisaron por separado, y el 29 de septiembre la empresa anunció que había completado su revisión forense. Dice que las instituciones cuyos datos incluyen mensajes pueden tener que revisar sus decisiones de notificación.

Las direcciones remitentes de los correos de entrega de datos y de notificación figuran en las preguntas frecuentes para clientes de Instructure. Compruébalas en esa página oficial, no con la información que aparece dentro del propio correo.

Según Instructure, tus registros pueden mostrar accesos desde cuentas de representantes de atención al cliente de Canvas entre el 25 y el 30 de abril, y brevemente el 7 de mayo. Patrones como accesos rápidos a muchos cursos o cuentas de usuario, o accesos a cuentas y cursos que tu personal de soporte normalmente no tocaría, que no coincidan con tickets de soporte legítimos que enviaste en esos periodos, pueden indicar la actividad del atacante.

Para la revisión se pueden usar Canvas Data y los registros de acceso administrativo. En Instructure Community se ha publicado una ficha informativa provisional de la empresa forense contratada, con los indicadores de compromiso conocidos.

Instructure recomienda MFA sea cual sea el método de autenticación, y en concreto recomienda activar el MFA de Canvas para todos los administradores. Para los centros que usan SSO, dice que en general es mejor imponer MFA mediante las políticas del proveedor de identidad. Las cuentas que se autentican en Canvas pueden usar el MFA nativo de Canvas, activado para todos los usuarios o solo para los administradores.

Instructure dice que no ha encontrado pruebas de que se exfiltraran credenciales de socios, claves de API ni tokens de desarrollador, y no pide a las instituciones que reconstruyan ni roten las integraciones de forma generalizada. Sin embargo, si la sincronización de matrículas del SIS o de calificaciones dejó de funcionar, es posible que Instructure haya rotado tus claves, y debes pedir credenciales actualizadas. También puedes rotar proactivamente las claves de API o volver a autorizar las integraciones. Aprovecha para hacer inventario de los tokens sin caducidad y de las claves de desarrollador que no se usan.

La interrupción llegó a final de semestre. Instructure señala que las API, Canvas Data, las exportaciones de cursos y los formatos de exportación basados en estándares permiten a las instituciones hacer copias de seguridad independientes. Antes del próximo periodo, decide qué datos copias fuera del LMS, con qué frecuencia y dónde, y cómo funcionarán las tareas y la entrega de calificaciones si el LMS no está disponible durante días (consulta Lo esencial de las copias de seguridad).