¿Cómo hackearon a Canvas? Lista de universidades y distritos escolares afectados, qué deben hacer los perjudicados y todo lo que sabemos del ciberataque

May 08, 2026 Sistema de Noticias Tecnologia

Una interrupción masiva en Canvas, la plataforma de aprendizaje digital utilizada por más de 30 millones de usuarios en todo el mundo, provocó caos en instituciones educativas de Estados Unidos durante la semana de exámenes finales.

La empresa matriz de Canvas, Instructure, confirmó que la causa fue un ciberataque que obligó a suspender temporalmente el servicio tras aparecer mensajes de extorsión en las plataformas de diversas universidades.

El ataque fue atribuido al grupo de hackers ShinyHunters, conocido por incidentes previos de alto perfil como el robo de datos a Ticketmaster. Según los reportes, lograron vulnerar la plataforma al explotar una falla relacionada con cuentas del tipo «Free-For-Teacher» (Gratis para profesores).

Entre los detalles del ataque se destacan:
– Mensaje de rescate: los estudiantes que intentaron iniciar sesión el jueves encontraron una nota del grupo criminal exigiendo un pago para evitar la filtración de datos.
– Reincidencia: los hackers aseguraron haber vulnerado a Instructure «nuevamente», criticando que la empresa respondió a un incidente previo del 1 de mayo solo con parches de seguridad, sin negociar.
– Volumen de datos: afirmaron haber robado 3.65 terabytes de información, equivalentes a unos 275 millones de registros de estudiantes, profesores y personal.

El ataque afectó a más de 8,000 instituciones a nivel global. Entre las universidades de renombre que reportaron mensajes de los hackers o interrupciones se encuentran Harvard, Princeton, Columbia, University of Pennsylvania, Stanford, Cornell, MIT, Georgetown, Rutgers, Kent State, James Madison University, University of Washington, University of California (Riverside) y las universidades de Oxford y Cambridge en el Reino Unido.

En el ámbito escolar (K-12) se reportaron afectaciones en distritos de al menos 11 estados, incluyendo California, Florida, Georgia, Carolina del Norte, Tennessee, Virginia y Wisconsin.

Instructure informó que, aunque el sistema fue restaurado completamente el viernes por la mañana, cierta información personal fue expuesta. Entre los datos comprometidos se incluyen nombres completos, direcciones de correo electrónico, números de ID de estudiante y mensajes privados entre usuarios. Sin embargo, la empresa aseguró que no hay evidencia de filtración de contraseñas, fechas de nacimiento, datos financieros o identificadores gubernamentales.

Expertos advierten sobre la gravedad de la filtración de mensajes privados, ya que los estudiantes suelen usar Canvas para comunicar información sensible relacionada con salud mental, médica o solicitudes de adaptaciones académicas.

Ante esta situación, aunque el servicio ha sido restablecido, la magnitud y la naturaleza de la filtración representan una seria preocupación de ciberseguridad. Por ello, se recomienda a estudiantes y docentes afectados tomar las siguientes precauciones:
– Evitar hacer clic en enlaces sospechosos incluidos en correos electrónicos inesperados que mencionen a Canvas, ya que podrían ser intentos de phishing.
– Acceder a la plataforma únicamente a través del sitio web oficial de la institución educativa.
– Activar la autenticación de doble factor (MFA) para añadir una capa adicional de seguridad y proteger las cuentas.
– Monitorear cualquier actividad sospechosa, como solicitudes inusuales de inicio de sesión o mensajes que pidan información personal o cambios de contraseña.
– Seguir los canales oficiales y consultar regularmente las actualizaciones del departamento de sistemas (IT) de su universidad o distrito escolar para conocer el alcance específico del incidente en cada institución.