Canvas LMS: hackeo expone datos de 275 millones y causa caos académico

Un ciberataque contra Canvas LMS, la plataforma de Instructure, comprometió datos personales de millones de estudiantes, profesores y personal administrativo en distintos países. La empresa confirmó el incidente y señaló que el acceso a información académica se vio afectado, con efectos inmediatos en instituciones que usan el sistema para clases y evaluaciones.

De acuerdo con la información difundida sobre el ataque, lo que comenzó como una falla en el acceso a las aulas virtuales derivó en un caso de extorsión cibernética. Los atacantes presionaron públicamente a la compañía con mensajes de rescate colocados directamente en la plataforma, en una etapa clave para cierres de semestre.

Datos comprometidos y alcance del ataque

El grupo de hackers ShinyHunters se atribuyó el hackeo y afirmó haber ingresado a servidores alojados en Amazon Web Services (AWS). Según esa versión, los atacantes extrajeron cerca de 3.65 terabytes de información sensible.

Entre los datos presuntamente comprometidos estarían nombres completos, correos institucionales, identificaciones estudiantiles y millones de mensajes privados entre alumnos y docentes. Lo que se sabe hasta ahora es que el incidente afectó procesos académicos, con retrasos y suspensión de evaluaciones en el periodo de exámenes finales.

Universidades suspenden servicios y exigen respuestas

Varias universidades habrían desconectado temporalmente sus servicios para limitar nuevas afectaciones, en un momento en que la plataforma era central para exámenes y contenidos de estudio. Lo que se sabe hasta ahora es que la interrupción generó problemas para acceder a materiales, además de cambios operativos en evaluaciones.

ShinyHunters fijó como fecha límite el 12 de mayo de 2026 para recibir un pago millonario y, en caso contrario, amenazó con vender o publicar la base de datos filtrada en espacios ilegales conocidos como “dark web”. También se menciona una estrategia de doble extorsión, que busca aumentar la presión por el riesgo de exposición pública y posibles consecuencias legales.

Qué falta por confirmar y qué hacer

Lo que falta por confirmar es el alcance exacto de los datos comprometidos en cada institución y el volumen final de usuarios afectados, más allá de la cifra mencionada en el reporte. Mientras avanza la investigación, especialistas recomiendan a estudiantes y docentes cambiar contraseñas de inmediato, activar medidas adicionales de protección y desconfiar de correos sospechosos vinculados a recuperación de cuentas o solicitudes de información personal. Para reducir riesgos, también sugieren monitorear actividades inusuales en plataformas educativas y evitar abrir enlaces desconocidos que podrían apuntar a phishing.