Instructure, la empresa detrás de Canvas, paga rescate a hackers
(insidehighered.com)- Instructure pagó un rescate al grupo ShinyHunters, que comprometió dos veces su sistema de gestión de aprendizaje Canvas, y llegó a un acuerdo de recuperación
- La empresa afirmó que, como parte del acuerdo, los hackers devolvieron los datos comprometidos relacionados con unos 275 millones de usuarios de más de 8,800 instituciones
- Instructure explicó que recibió shred logs como confirmación de destrucción de los datos y garantías de que sus clientes no sufrirán extorsión adicional
- ShinyHunters advirtió sobre la filtración de nombres, correos electrónicos, ID de estudiantes y mensajes privados, mientras las interrupciones en Canvas obligaron a universidades a posponer exámenes y fechas de entrega
- Cliff Steinhauer, de la National Cybersecurity Alliance, señaló que pagar rescates puede recompensar a los atacantes y aumentar el riesgo de exposición a largo plazo
El pago del rescate por parte de Instructure y la recuperación de Canvas
- Instructure pagó un rescate a la organización de ciberdelincuentes que hackeó dos veces su sistema de gestión de aprendizaje Canvas durante la última semana y media
- Según una actualización publicada por Instructure la noche del lunes, este acuerdo permitió que los hackers devolvieran los datos comprometidos relacionados con unos 275 millones de usuarios de más de 8,800 instituciones
- Instructure recibió shred logs, una confirmación digital de la destrucción de los datos, y también obtuvo garantías de que, por este incidente, “los clientes de Instructure no serán extorsionados ni públicamente ni de ninguna otra manera”
- Se indicó que este acuerdo cubre a “todos los clientes de Instructure afectados” y que los clientes individuales no “necesitan” contactar a ShinyHunters, el grupo de extorsión que comprometió Canvas dos veces y lo deshabilitó temporalmente
- Instructure señaló que, aunque nunca hay certeza total al tratar con ciberdelincuentes, es importante tomar todas las medidas posibles bajo su control para dar a los clientes la mayor tranquilidad posible
- La empresa sigue trabajando con firmas especializadas para apoyar el análisis forense, reforzar el entorno y revisar en conjunto los datos involucrados, y planea ofrecer actualizaciones conforme avancen estos trabajos
Las exigencias de ShinyHunters y la interrupción del servicio de Canvas
- Instructure no reveló el monto del acuerdo, pero este se concretó un día antes de la fecha límite de rescate del 12 de mayo impuesta por ShinyHunters
- ShinyHunters también ha sido vinculado con recientes brechas de datos en University of Pennsylvania, Princeton University y Harvard University
- La intrusión de ShinyHunters en Canvas provocó una interrupción grave del servicio, y el grupo advirtió a Instructure que debía pagar si quería evitar la filtración de datos de usuarios, incluidos nombres, direcciones de correo electrónico y números de ID de estudiantes
- En una carta de rescate publicada en Ransomware.live el 3 de mayo, ShinyHunters afirmó tener “miles de millones de mensajes privados entre estudiantes y profesores, y entre estudiantes”, además de conversaciones personales y otra información de identificación personal
- Los hackers exigieron que Instructure se comunicara con ellos antes del 6 de mayo de 2026 y advirtieron que, de lo contrario, filtrarían los datos y causarían “molestos problemas digitales”
- Instructure pareció no responder a esa exigencia, pero manejó el problema de seguridad y Canvas volvió a estar completamente operativo para el martes 5 de mayo
- Sin embargo, el jueves los usuarios de Canvas volvieron a quedarse sin acceso a sus cuentas, y muchos de ellos, que se preparaban para exámenes finales y trabajos de cierre de semestre, solo vieron un mensaje de los hackers
- En ese mensaje, los atacantes afirmaban que “ShinyHunters volvió a comprometer Instructure” y sostenían que la empresa no se había puesto en contacto con ellos y solo había aplicado un parche de seguridad
- El mensaje exigía que las instituciones afectadas, si querían evitar la publicación de los datos, consultaran con una firma asesora en ciberseguridad y negociaran un acuerdo mediante contacto privado por TOX; además, fijaba como plazo el 12 de mayo tanto para las instituciones como para Instructure
- En una carta de rescate publicada en RansomLook, ShinyHunters aseguró que Instructure no había entendido la situación ni había intentado negociar para impedir la divulgación de los datos, y que la suma exigida no era tan alta como se pensaba
La respuesta de las universidades y el cambio en la comunicación de Instructure
- A medida que continuaban las fallas en Canvas, varias universidades pospusieron exámenes y fechas límite de proyectos finales mientras esperaban una solución
- El CEO de Instructure, Steve Daly, reconoció en una actualización del sitio web de la empresa tras la segunda intrusión que la semana pasada intentó verificar cuidadosamente los hechos antes de hablar en público, pero que no logró equilibrarlo bien
- Daly dijo: “Me concentré en verificar los hechos, y guardé silencio cuando ustedes necesitaban actualizaciones constantes”, y afirmó que eso cambiará en adelante
- Después de eso, Instructure también parece haber iniciado comunicación con los hackers y el lunes por la tarde publicó en su sitio web que “todos los entornos de Canvas están disponibles”
Los riesgos de pagar un rescate
- Cliff Steinhauer, director de seguridad de la información y participación de la National Cybersecurity Alliance, evaluó que pagar el rescate pudo haber resuelto el problema inmediato de Instructure, pero va en contra de los principios generales de respuesta en ciberseguridad
- Steinhauer considera que pagar rescates puede crear “un peligroso ciclo de retroalimentación en el que los atacantes son recompensados de hecho por una intrusión exitosa”
- Incluso si una organización cree que “resuelve” la crisis inmediata, esto puede reforzar los incentivos económicos de la ciberextorsión y enviar a los actores de amenazas la señal de que atacar grandes plataformas educativas o servicios críticos es rentable
- Como advierten de manera constante las autoridades, él considera que pagar rescates incentiva más ataques en toda la industria y corre el riesgo de normalizar el pago mismo como una estrategia viable de respuesta a incidentes
- Steinhauer también señaló que el acuerdo entre Instructure y ShinyHunters deja abiertas cuestiones de confianza y certeza
- Incluso si los delincuentes afirman haber borrado los datos robados o entregan “pruebas” de destrucción, no existe una forma confiable de verificarlo, y en el pasado con frecuencia esos datos se han conservado, revendido o reutilizado en futuras extorsiones
- Desde una perspectiva de riesgo, las organizaciones podrían estar cambiando una interrupción inmediata del servicio por un problema de exposición a largo plazo, que puede reaparecer meses o años después sin que quede una palanca adicional para evitarlo
1 comentarios
Comentarios de Hacker News
Lo explicó como algo parecido a un rescate por secuestro. Si toman como rehén a un estadounidense, cada familia querrá pagar, pero como resultado surge toda una industria de secuestrar estadounidenses. Según explicó, el Congreso lo evitó al volver ilegal pagarles a los secuestradores, y al dejar de ser rentable, disminuyeron los secuestros de estadounidenses, aunque los europeos pasaron a ser el objetivo
Su propuesta era empezar a advertir a los consultores de ciberseguridad y aseguradoras que suelen intervenir en estas situaciones que es muy probable que pagar a países sancionados ya sea ilegal y pueda ser objeto de investigación. Los primeros a quienes atrapen la pasarán muy mal, pero al final la industria cambiará de rumbo y atacará menos a las empresas estadounidenses
Los ejecutivos que no hayan hecho respaldos periódicos como corresponde deberían rendir cuentas, por supuesto
Ese dinero solo se usa para explotar más vulnerabilidades y hacer más estupideces; es una carrera sin fin hacia abajo. Lapsus$, el grupo superior de ShinyHunters, incluso publicó en su sitio web que quería comprar acceso interno a redes corporativas. Decían que no necesitaban los datos, solo una vía de entrada
Esto es lo que pasa cuando sigues dándoles millones de dólares a criminales en criptomonedas difíciles de rastrear
Pagar un rescate envía tres señales: eres vulnerable a ataques, no puedes recuperarte de un ataque y tienes efectivo. El resultado es que te atacan mucho más. Puedes preguntarme cómo lo sé, pero no te lo voy a decir
Por otro lado, las bandas de ransomware que quieren seguir en el negocio tienen que ser “honestas” en el sentido de no publicar ni borrar los datos después. Es curiosamente gracioso que necesiten eso para seguir siendo operadores de ransomware confiables. En muchos casos, la víctima prefiere que el dinero termine en manos del operador de ransomware antes que ver filtrados sus datos. Así que para la víctima actual pagar puede ser lo mejor, pero aumenta la probabilidad de futuras víctimas
La dinámica y la economía del ransomware son interesantes
A cada empresa individual probablemente le convenga pagar, pero si nadie pagara, todos estarían mejor
Por eso en lugares como Estados Unidos existe una política oficial de no pagar rescates, y hay otras políticas similares. Si no hay un mecanismo que obligue a cada víctima individual a no pagar, siempre habrá incentivos para hacerlo y el rescate seguirá siendo rentable
https://en.wikipedia.org/wiki/Collective_action_problem
https://en.wikipedia.org/wiki/Prisoner%27s_dilemma
Ya sea que las mismas personas usen un nombre “nuevo” o el de siempre, desde la perspectiva de la víctima no parece cambiar mucho el cálculo cuando tus sistemas están tomados como rehenes
Eventualmente aparecerá una “gremio del ransomware” al estilo Discworld que cobre una “prima de seguro” y se encargue de quienes tomen datos como rehenes sin autorización, o bien se crearán sistemas basados en cifrado de extremo a extremo para que los datos pierdan valor
Arruinarías a mucha gente, pero mientras mejor los imites y más consistentemente no restaures nada después de cobrar, al final podrías hacer imposible que el ransomware funcione como negocio. ¿Qué podría salir mal? ;)
0: https://wiki.roshangeorge.dev/w/Benevolent_Terrorist#Poisoni...
También me interesa la causa raíz del ataque. Vi rumores en línea de que pudo estar relacionado con una vulnerabilidad en sitios de Salesforce Experience Cloud, un patrón que ShinyHunters usa con frecuencia, pero no se confirmó. Lo que sí se confirmó es que la vulnerabilidad estaba relacionada con la función “Free-For-Teacher accounts” de Canvas
Así que incluso otros delincuentes tienen incentivos para frenar a quienes filtran la información después de cobrar
Claro, eso no impide que vendan los datos por debajo del agua y luego digan “no fuimos nosotros, fue otra persona que consiguió los mismos datos en otro hackeo”
Aunque también haría falta valentía ante la posible responsabilidad por difamación. No parece que un descargo de responsabilidad ayude demasiado a evitar ese riesgo
Me parece que el costo de sufrir un hackeo es demasiado bajo. Sobre todo para la alta dirección o la capa ejecutiva, se trata como algo abstracto con cierto costo de tiempo y recursos
Tampoco hay un éxodo masivo de clientes después de una filtración. Y 7,000 instituciones educativas sin presupuesto y sobrecargadas no se van a mudar todas de golpe
Así que es bastante seguro asumir que una filtración de datos no tiene efectos duraderos sobre la empresa. En unos meses todos se habrán olvidado
Tampoco me convence cómo hablan de que los datos están seguros o fueron destruidos. En incidentes así, ese tipo de promesas suenan bastante dudosas
https://www.blockonomics.co/#/search?q=bc1q5530apqz86eywm2f8...
[1] https://xcancel.com/search?f=tweets&q=1968412640398430555