¿Cómo fue el hackeo a Canvas y qué es ShinyHunters? Claves del incidente que afectó a miles de escuelas y universidades

Por Hanna Park, Ramishah Maruf y Emma Tucker, CNN

Un aparente ciberataque paralizó el jueves una plataforma educativa utilizada por universidades y escuelas de educación básica y secundaria (K-12) en todo Estados Unidos, privando a estudiantes y docentes de materiales didácticos esenciales justo cuando muchos están realizando o preparándose para sus exámenes finales.

Canvas, un popular centro digital para aulas basado en la nube, cuenta con más de 30 millones de usuarios activos a nivel mundial y más de 8.000 instituciones como clientes, según informa en su sitio web su empresa matriz, Instructure.

Grandes sistemas de escuelas públicas y universidades como Columbia, Princeton, Harvard y Georgetown informaron que el jueves apareció una nota de rescate, firmada por un grupo de hackers, en la página de inicio de los sitios de Canvas de sus respectivas instituciones.

Este aparente hackeo se produjo después de que el grupo al que se cree responsable advirtiera a Instructure en una nota de rescate que debía “pagar” o iban a “filtrar”, asegurando haber accedido a datos de millones de usuarios, incluidos estudiantes, docentes y personal administrativo.

Hacia el final de la noche del jueves, Instructure anunció que Canvas ya estaba disponible de nuevo “para la mayoría de los usuarios”. No obstante, para entonces varias escuelas ya habían ampliado los plazos y modificado los calendarios de exámenes finales a consecuencia del ataque informático.

Esto es lo que sabemos hasta el momento.

Un estudiante de la Universidad de Washington que intentó iniciar sesión en Canvas alrededor del mediodía del jueves se encontró con un mensaje del grupo de hackers ShinyHunters, que afirmaba haber “vulnerado” la empresa matriz de la plataforma, según una captura de pantalla obtenida por CNN.

La nota, de la que informaron diversos medios estudiantiles, exigía el pago de rescates para evitar filtraciones de datos de la plataforma.

Un estudiante de la Universidad de Pensilvania relató que su sesión en la cuenta de Canvas se cerró automáticamente mientras estudiaba para los exámenes finales. Los profesores tuvieron que actuar con urgencia para enviar los materiales de clase por otras vías, comentó el estudiante.

Universidades de todo el país —incluidas la Universidad de Columbia, Rutgers, Princeton, Kent State, Harvard y Georgetown— emitieron comunicados alertando a los estudiantes sobre el hackeo que estaba afectando a instituciones a nivel nacional. Distritos escolares de California, Florida, Georgia, Oklahoma, Oregón, Nevada, Carolina del Norte, Tennessee, Utah, Virginia y Wisconsin también informaron haber resultado afectados.

Esta es la segunda filtración de datos educativos que ShinyHunters se atribuye este mes. En la nota de rescate del jueves, el grupo afirmó haber hackeado a Instructure “de nuevo” y criticó la respuesta de la empresa ante el ataque anterior: “En lugar de contactarnos para resolverlo, nos ignoraron e implementaron algunos ‘parches de seguridad’”.

El 1 de mayo, Instructure comunicó que había “sufrido un incidente de ciberseguridad perpetrado por un actor criminal”. La empresa señaló que la vulneración había sido “contenida” al día siguiente, pero que, al parecer, habían quedado expuestos nombres de usuario, direcciones de correo electrónico, números de identificación estudiantil y comunicaciones de algunas instituciones.

En una nota de rescate compartida el 3 de mayo por Ransomware.live —un sitio que monitorea ataques y grupos de ransomware—, ShinyHunters afirmó haber vulnerado los datos de 275 millones de personas y tener acceso a “miles de millones de mensajes privados”, y estableció el 6 de mayo como fecha límite para que Instructure se pusiera en contacto con ellos.

En una nota publicada el jueves, el grupo de hackers dio a las instituciones afectadas un plazo hasta el 12 de mayo “para negociar un acuerdo”.

CNN ha contactado a Instructure para solicitar comentarios al respecto.

Durante la interrupción del servicio de Canvas, Instructure informó el jueves que había puesto la plataforma en “modo de mantenimiento” mientras investigaba el problema. Más tarde esa misma noche, anunció que Canvas ya estaba disponible de nuevo “para la mayoría de los usuarios”.

Se conoce poco públicamente sobre el grupo de hackers que se atribuyó la responsabilidad de la interrupción del servicio de Canvas. Sin embargo, investigadores de ciberseguridad y autoridades federales han vinculado el nombre ShinyHunters a varios casos de robo de datos de alto perfil.

El grupo se atribuyó la responsabilidad de hackear a Ticketmaster e intentar vender datos de usuarios en la dark web en 2024, según informó previamente CNN.

A principios de este año, Mandiant —una firma de ciberinteligencia propiedad de Google— reportó un aumento en la actividad consistente con anteriores “operaciones de extorsión bajo la marca ShinyHunters”, señalando que los atacantes utilizan sofisticadas técnicas de phishing de voz y páginas de inicio de sesión falsas —con la imagen corporativa de las empresas— para recopilar credenciales de empleados antes de robar datos confidenciales de plataformas basadas en la nube con fines de extorsión.

En 2024, el Departamento de Justicia anunció la sentencia de un miembro de lo que los fiscales describieron como un notorio grupo internacional de hackers vinculado al nombre ShinyHunters. Las autoridades indicaron que un usuario que operaba bajo ese alias puso a la venta datos robados de más de 60 empresas en foros de la dark web y, en ocasiones, amenazó con filtrar archivos confidenciales si las víctimas no pagaban.

Los documentos judiciales relacionados con el miembro sentenciado revelan que entre las víctimas con sede en Estados Unidos se encontraban empresas de tecnología, entretenimiento, comunicaciones, indumentaria y fitness, así como un desarrollador de videojuegos.

Melanie Topchyan, estudiante de último año en la Universidad de California, Riverside, comentó que se perdió una prueba el jueves debido a la interrupción del servicio y expresó su preocupación por no poder seguir el ritmo académico. Señaló que la próxima semana tiene un examen parcial de una asignatura exigente y que depende de Canvas para repasar las clases y sus apuntes.

“Es motivo de un pequeño ataque de pánico”, declaró a CNN.

Anish Garimidi, estudiante de tercer año de la Universidad de Pensilvania a quien se le cerró la sesión de Canvas mientras intentaba estudiar, relató que sintió de inmediato una oleada de ansiedad.

“La principal causa de mi miedo y ansiedad es que me vi privado de recursos fundamentales para estudiar y rendir al máximo nivel”, explicó Garimidi a CNN.

Para muchos estudiantes, la interrupción se produjo en el peor momento posible. Minhal Nazeer, estudiante de segundo año de Georgetown, había regresado a su hogar en Kentucky, dado que el resto de sus actividades académicas se realizarían en línea a través de Canvas.

Sin embargo, mientras algunos de sus compañeros “entraban en pánico”, ella encontró un aspecto positivo en el tiempo adicional que obtuvieron después de que los profesores ampliaran los plazos de entrega.

“Yo ya me encontraba en una buena posición para terminar todos mis trabajos, así que no me ha afectado demasiado; no obstante, reconozco que me está sirviendo de ayuda, ya que he conseguido algunas prórrogas. Simplemente tengo más tiempo para revisar mis cosas”, comentó.

Un estudiante de último año de la Universidad de Columbia, quien prefirió mantener el anonimato, afirmó que la interrupción se produjo en el “momento más inoportuno”: justo cuando muchos estudiantes pasaban de participar en las celebraciones de fin de curso a dedicarse seriamente a la preparación de los exámenes.

La Universidad James Madison ha reprogramado para el miércoles los exámenes que estaban previstos para el viernes, según informó la institución en un comunicado.

Este episodio ha puesto de manifiesto cuán profundamente integrado se encuentra Canvas en la vida académica de numerosas instituciones, no solo como portal para la entrega de trabajos, sino también como herramienta central de comunicación.

En el Instituto Tecnológico de Massachusetts (MIT), Allison Park, estudiante de tercer año, relató que los profesores tuvieron que apresurarse a localizar las direcciones de correo electrónico de sus alumnos tras perder el acceso a la función de avisos y comunicados de Canvas. “El hecho de que este único sitio web sirviera de nexo entre el cuerpo docente y los estudiantes fuera del horario de clases… no me di cuenta de cuán dependientes éramos de él hasta que empezaron a buscar nuestros correos electrónicos a la desesperada”, comentó.

Liane Xu, otra estudiante del MIT, señaló que sus cursos dependen de Canvas para la entrega de tareas y la gestión de las calificaciones. Aunque algunos profesores alojan los materiales del curso en sitios web independientes, explicó que los recursos fundamentales como los videos de las clases magistrales, los apuntes y los documentos de estudio suelen almacenarse dentro de la propia plataforma.

A medida que el semestre llega a su fin, añadió, el acceso a dichos materiales resulta indispensable.

“Es una situación lamentable, y en cierto modo somos las víctimas de todo esto”, afirmó la estudiante de último año de Columbia.

The-CNN-Wire
™ & © 2026 Cable News Network, Inc., a Warner Bros. Discovery Company. All rights reserved.

Sarah Hutter, Ray Sanchez, Maria Aguilar Prieto y Jillian Sikes, de CNN, contribuyeron a la elaboración de este reportaje.