Vazamento de dados do Canvas (Instructure): matrículas em cursos e mensagens vazaram — o que alunos, professores e instituições de ensino devem fazer

A Instructure entrega os dados por instituição, aos contatos de segurança que cada uma cadastrou, e orienta alunos e famílias a encaminhar dúvidas à sua instituição. Se estiver preocupado, fale com a TI ou a secretaria acadêmica da sua instituição.

Se uma instituição decidir que é necessário um aviso individual, a Instructure se oferece para enviá-lo em nome dela por meio de um fornecedor externo, e em alguns lugares o aviso pode incluir monitoramento de identidade gratuito (24 meses). Se receber um aviso assim, confira se o mesmo aviso aparece no site oficial ou no portal da sua instituição antes de agir.

Com nomes, endereços de e-mail e cursos matriculados, é fácil escrever mensagens convincentes sobre "reenviar um trabalho", "conferir sua nota", "atualizar sua matrícula" ou "um pedido de desculpas e uma compensação pelo vazamento de dados". Não faça login a partir de links em e-mails ou SMS; abra você mesmo o endereço do Canvas ou o app que sua instituição usa. Nunca informe senha ou código de MFA em resposta a uma mensagem (veja O que é phishing?).

As mensagens estão entre os campos envolvidos. Se você já enviou em uma mensagem do Canvas uma senha, o login de outro serviço, seu endereço ou telefone, ou assuntos de saúde ou de família, considere que esse conteúdo pode ser conhecido. No caso de senhas e logins, troque-os agora nesse serviço; no caso de assuntos pessoais, esteja pronto para ignorar qualquer contato que os use como isca.

A Instructure diz que não tem evidências de que credenciais tenham sido comprometidas. Mesmo assim, incentiva a troca de senhas, principalmente para usuários que não usam SSO e MFA. Se a sua senha do Canvas é usada em outro lugar, separe-as. Se sua instituição oferece MFA, ative-o (Como escolher um gerenciador de senhas / Como escolher o MFA).

Nomes de cursos e dados de matrícula facilitam escrever mensagens que se passam por um professor para os alunos, ou por alunos ou funcionários para um professor. Diga aos alunos que as comunicações da disciplina só chegam por canais definidos, como os Avisos dentro do Canvas, para que eles possam desconfiar de todo o resto.

As conversas entre professores e alunos estão entre os campos envolvidos. Se mensagens antigas incluíam adaptações para alunos, condições de saúde ou situações familiares, informe a TI ou a área de privacidade da instituição. Segundo a Instructure, é a instituição que decide se os usuários finais precisam ser avisados, e as instituições podem precisar rever essa decisão quando a revisão das mensagens terminar. O professor que escreveu as mensagens é quem sabe o que há nelas.

Daqui em diante, trate qualquer coisa que causaria dano se vazasse, como senhas ou situações pessoais, por um canal definido pela sua instituição. As mensagens do LMS servem para a comunicação da disciplina, não para guardar segredos.

O Canvas entrou em modo de manutenção em 7 de maio, e as aulas de fim de semestre foram prejudicadas. A Instructure observa que as ferramentas de exportação de cursos e as APIs permitem manter dados fora do Canvas. Exportar seus cursos ao fim de cada período reduz o impacto da próxima vez que o serviço ficar indisponível. O Free-for-Teacher foi encerrado definitivamente, e os prazos para baixar os materiais (28–29 de maio e 28–29 de julho) já terminaram.

A Instructure entrega os dados de cada instituição afetada a até dois contatos de segurança cadastrados nas configurações da conta do Canvas. Os contatos devem ser pessoas, não caixas de e-mail compartilhadas nem listas de distribuição, e instituições com várias instâncias do Canvas precisam de contatos para cada uma. Não há prazo final rígido; a empresa diz que envia dados a novos contatos a cada duas semanas.

O link de entrega expira após 30 dias, então baixe os arquivos se precisar guardá-los. Se nada chegou, a Instructure aponta três motivos possíveis (nenhum contato cadastrado, apenas dados de mensagens envolvidos e ainda pendentes, ou uma revisão posterior não encontrou registros de usuários da sua instituição) e confirma qual é o caso se você perguntar.

A visão da Instructure é que a maioria das jurisdições não exige aviso individual para os dados de usuários e de provisionamento, mas se uma instituição decidir que o aviso é necessário, a Instructure coordena as notificações por meio de um fornecedor externo somente depois que a instituição aderir. Os dados de mensagens foram revisados separadamente, e em 29 de setembro a empresa anunciou que a revisão forense estava concluída. Ela diz que instituições cujos dados incluem mensagens podem precisar rever as decisões de notificação.

Os endereços de remetente dos e-mails de entrega de dados e de notificação estão listados no FAQ para clientes da Instructure. Confira-os nessa página oficial, e não com as informações que aparecem dentro do próprio e-mail.

Segundo a Instructure, seus logs podem mostrar acessos de contas de representantes de suporte do Canvas entre 25 e 30 de abril, e brevemente em 7 de maio. Padrões como acesso rápido a muitos cursos ou contas de usuário, ou acesso a contas e cursos que sua equipe de suporte normalmente não tocaria, que não correspondam a chamados de suporte legítimos que você abriu nesses períodos, podem indicar o invasor.

O Canvas Data e os logs de acesso administrativo podem ser usados na revisão. Uma ficha provisória da empresa forense contratada, com indicadores de comprometimento conhecidos, está publicada na Instructure Community.

A Instructure recomenda MFA qualquer que seja o método de autenticação e recomenda especificamente ativar o MFA do Canvas para todos os administradores. Para instituições que usam SSO, ela diz que o MFA em geral é melhor aplicado pelas políticas do provedor de identidade. Contas autenticadas pelo Canvas podem usar o MFA nativo do Canvas, ativado para todos os usuários ou só para administradores.

A Instructure diz que não encontrou evidências de que credenciais de parceiros, chaves de API ou tokens de desenvolvedor tenham sido exfiltrados, e não está pedindo que as instituições refaçam ou troquem integrações de forma ampla. Mas se a sincronização de matrículas do SIS ou de notas parou de funcionar, suas chaves podem ter sido trocadas do lado da Instructure, e você deve pedir credenciais atualizadas. Você também pode trocar chaves de API ou reautorizar integrações por iniciativa própria. Aproveite para fazer um inventário de tokens sem validade e de chaves de desenvolvedor sem uso.

A interrupção veio no fim do semestre. A Instructure observa que as APIs, o Canvas Data, as exportações de cursos e os formatos de exportação baseados em padrões permitem às instituições fazer backups independentes. Antes do próximo período, defina quais dados você copia para fora do LMS, com que frequência e para onde, e como vão funcionar as tarefas e o lançamento de notas se o LMS ficar fora do ar por dias (veja O essencial sobre backup).