Miles de escuelas en todo Estados Unidos quedaron paralizadas el jueves después de que la empresa de tecnología educativa Instructure bloqueara el acceso a su plataforma Canvas tras una brecha de seguridad provocada por piratas informáticos que se hacían llamar ShinyHunters.
La educación superior tieneHa sido durante mucho tiempo blanco de ataques de ransomware y extorsión de datos. Pero quizás nunca antes un ciberataque contra una sola plataforma de software había interrumpido de forma tan drástica las operaciones diarias de miles de escuelas en todo Estados Unidos.
La plataforma de aprendizaje digital Canvas, de amplio uso, entró en «modo de mantenimiento» el jueves después de que su creador, el gigante de la tecnología educativa Instructure, sufriera una filtración de datos y sufriera un intento de extorsión por parte de atacantes que utilizaban el conocido alias «ShinyHunters». Aunque los piratas informáticos habían estado anunciando la filtración e intentando obtener un rescate de Instructure desde el 1 de mayo, la situación adquirió mayor urgencia para la gente común en Estados Unidos y otros países el jueves, ya que la caída del servicio de Canvas causó caos en las escuelas, incluidas aquellas que estaban en pleno período de exámenes finales y entrega de trabajos de fin de año.
Universidades como Harvard, Columbia, Rutgers y Georgetown enviaron alertas a sus estudiantes sobre la situación en los últimos días; otras instituciones, incluidos distritos escolares en al menos una docena de estados, también parecen haberse visto afectadas. En una lista publicada por los hackers responsables del ataque en su sitio web de la dark web, dedicado al extorsiono, afirman que la brecha afectó a más de 8800 escuelas. Sin embargo, se desconoce la magnitud y el alcance exactos de la brecha. Además, el hecho de que Canvas estuviera fuera de servicio durante toda la tarde y noche del jueves complicó aún más la situación.
En un registro de actualizaciones de incidentes que comenzó el 1 de mayo, Steve Proud, director de seguridad de la información de Instructure, declaró que la empresa había «sufrido recientemente un incidente de ciberseguridad perpetrado por un actor malintencionado». Añadió el 2 de mayo que «la información involucrada» de «usuarios de las instituciones afectadas» incluía nombres, direcciones de correo electrónico, números de identificación de estudiantes y mensajes intercambiados por los usuarios en la plataforma.
El miércoles, la situación se marcó como «Resuelta», y Proud escribió que «Canvas está completamente operativo y no estamos detectando ninguna actividad no autorizada». Sin embargo, al mediodía del jueves, la página de estado de Instructure registró un «problema» en el que «algunos usuarios tienen dificultades para iniciar sesión en los portafolios electrónicos de los estudiantes». A las pocas horas, la empresa añadió otra actualización de estado: «Instructure ha puesto Canvas, Canvas Beta y Canvas Test en modo de mantenimiento». A última hora del jueves, la empresa anunció que Canvas ya estaba disponible de nuevo «para la mayoría de los usuarios».
TechCrunch informó el jueves que los piratas informáticos lanzaron una segunda oleada de ataques, alterando los portales Canvas de algunas escuelas mediante la inyección de un archivo HTML que mostraba su propio mensaje en las páginas de inicio de sesión de Canvas de dichas escuelas. Según The Harvard Crimson , los atacantes modificaron la página de inicio de sesión de Harvard Canvas para mostrar un mensaje que incluía una lista de escuelas que, según afirman, se vieron afectadas por la brecha de seguridad.
El mensaje de los atacantes “instaba a las escuelas incluidas en la lista afectada a consultar con una empresa de asesoría cibernética y a contactar al grupo de forma privada para negociar un acuerdo antes del final del día del 12 de mayo; de lo contrario, corrían el riesgo de que sus datos se filtraran”, informó The Crimson. “No está claro qué información relacionada con los afiliados de Harvard se incluyó en la supuesta filtración”.
Instructure no respondió de inmediato a la solicitud de comentarios sobre las interrupciones del jueves y su relación con el panorama general de la filtración. Sin embargo, la situación es significativa, dado que una enorme cantidad de información estudiantil podría haber quedado expuesta, y la repercusión del incidente en todo el país lo convierte en un ejemplo clave de un problema persistente, pero en constante escalada, de extorsión de datos y ataques de ransomware.
El nombre ShinyHunters se asocia con filtraciones masivas de datos y se ha vinculado al infame colectivo de hackers conocido como Com . Sin embargo, a medida que el panorama de los atacantes ha cambiado con el paso de los años, numerosos atacantes han adoptado los nombres más destacados relacionados con Com. Varios ataques recientes han invocado otros nombres, como Lapsus$ , con poca o ninguna conexión con el grupo original que operaba bajo ese nombre.
En el caso de Canvas, tampoco está claro quién se esconde tras el nombre de ShinyHunters. Allison Nixon, directora de investigación de la empresa de ciberseguridad Unit 221b, que ha seguido de cerca a ShinyHunters y otros grupos de ransomware, afirma que la actividad parece estar relacionada con la actividad reciente de un grupo de hackers a los que a veces se les denomina ScatteredLapsus$Hunters.
El jueves por la mañana, un sitio web de la dark web utilizado por hackers que operan bajo el nombre de ShinyHunters para amenazar y extorsionar a sus objetivos incluyó a Instructure y a las escuelas que utilizan su software como víctimas, junto con una nota de los hackers quejándose de que Instructure no había respondido a sus demandas para negociar un pago. «Instructure ni siquiera se ha molestado en hablar con nosotros para comprender la situación o negociar para evitar la publicación de estos datos», decía el comunicado. «Aparentemente, a la empresa no le importan los estudiantes afectados ni las instituciones perjudicadas por esta filtración de datos».
Sin embargo, para el jueves por la noche, esas referencias a Instructure y sus clientes habían desaparecido del sitio, que posteriormente dejó de responder. Si bien las bandas de ransomware a veces eliminan a las víctimas de sus sitios en la web oscura como respuesta al pago de un rescate, los piratas informáticos también pueden eliminarlas como táctica de negociación, afirma Nixon.
“Esta suele ser una de sus tácticas de manipulación para intentar que la víctima pague. Así que, mientras negocian o después de que hayan pagado, pueden eliminar a la víctima del sitio web o, dependiendo de cómo vayan las negociaciones, pueden volver a añadirla”, explica Nixon.
Añade que, en medio de esas negociaciones, se sabe que los grupos de hackers asociados a Com han recurrido a tácticas coercitivas más extremas para maximizar el incentivo de la víctima para pagar, incluyendo ataques de denegación de servicio distribuidos, saturando a la empresa con llamadas telefónicas y correos electrónicos, e incluso amenazando a las familias de los ejecutivos. «Este tipo de tácticas de presión empiezan a parecerse mucho más a una mafia violenta que a la habilidad de hackers profesionales», afirma Nixon.
De hecho, los hackers enumeran en su sitio web de la dark web a numerosas otras víctimas que ya habían sido reportadas como objetivos de ShinyHunters, incluyendo Amtrak, Harvard, la Universidad de Pensilvania, Rockstar Games, Match, Hinge y Bumble, aunque WIRED no pudo confirmar si esas organizaciones habían sido realmente atacadas por este subgrupo específico de la Com. Nixon advierte que los hackers detrás del ataque a Canvas han utilizado datos antiguos o reciclados para exagerar las afirmaciones de intrusiones en el pasado.
Este último ataque y las perturbaciones que ha causado en las escuelas de todo el país son, lamentablemente, una realidad, y representan una escalada significativa por parte de esta banda de ransomware. «Es notable que un pequeño número de delincuentes reincidentes pueda intensificar sus actividades durante años hasta llegar a este punto», afirma Nixon. «Esto pone de manifiesto el problema sistémico internacional del cibercrimen y la necesidad de que los gobiernos de todo el mundo dejen de lado la geopolítica y cooperen para detener a quienes extorsionan dinero y se aprovechan de los niños».
Informacion tomado de: wired.com
