- A plataforma Canvas, operada pela Instructure, fechou acordo com o ator não autorizado para apagar dados roubados em ataque cibernético que causou transtornos aos estudantes e atrasos nos exames finais.
- O grupo ShinyHunters assumiu a autoria, ameaçando vazar dados de cerca de nove mil escolas e duzentos setenta e cinco milhões de pessoas se não houvesse pagamento.
- A Instructure afirmou que os dados foram devolvidos e que recebeu confirmação digital de que cópias remanescentes foram destruídas, por meio de logs de destruição.
- A empresa reconheceu que não há como ter certeza de que os dados foram apagados de forma definitiva e agiu para reduzir o risco de publicação.
- Os dados acessados incluíam números de identificação de estudantes, endereços de e-mail, nomes e mensagens na plataforma; não houve evidência de comprometimento de senhas, datas de nascimento, documentos oficiais ou informações financeiras.
O serviço Canvas, utilizado por escolas para gestão de notas, conteúdo e comunicação, sofreu uma violação de dados na semana passada. Usuários ficaram sem acesso à plataforma, interrompendo atividades e adiando provas finais em várias instituições.
A empresa-mãe Instructure confirmou ter fechado um acordo com o atacante não autorizado envolvido no incidente. Não houve divulgação de detalhes do acordo, nem confirmação de pagamento, e nem de quem estaria por trás do ataque.
O grupo de hackers conhecido como ShinyHunters reivindicou a autoria do ataque, dizendo que exigia resgate de quase 9 mil escolas e 275 milhões de pessoas. O prazo inicial foi estendido, com indícios de negociações com algumas instituições.
Recuo de dados e confirmação de destruição
Como parte do acordo, os dados teriam sido devolvidos à Instructure. A companhia também afirmou ter recebido confirmação digital de que cópias remanescentes foram destruídas, por meio de logs de destruição.
Apesar da garantia, a Instructure alertou que não há total certeza de que as informações foram completamente apagadas, citando riscos de publicação futura. A empresa disse agir para oferecer maior tranquilidade aos clientes.
A violação envolveu números de identificação de alunos, endereços de e-mail, nomes e mensagens no Canvas. Segundo o chief information security officer, não houve indícios de vazamento de senhas, datas de nascimento, documentos oficiais ou informações financeiras.
A Instructure disse estar trabalhando com fornecedores especializados para analisar o ocorrido, reforçar a segurança e realizar uma revisão abrangente dos dados envolvidos.
Impacto e uso da plataforma
O Canvas é usado por escolas para gerenciar a maior parte das atividades de ensino, funcionando como caderno de notas, hub de conteúdos, fórum de discussão e canal de mensagens entre alunos e professores.
Alguns cursos utilizam a plataforma para aplicar quizzes e exames ou para receber trabalhos finais dentro de prazos estabelecidos. O incidente interrompeu o fluxo normal de várias instituições na semana passada.
Entre na conversa da comunidade