Canvas: robo de datos y caída de la plataforma educativa

En resumen

Instructure, la empresa que opera la plataforma educativa Canvas, informó que detectó actividad no autorizada el 29 de abril de 2026. A la Universidad de Nebraska le comunicó que el acceso ocurrió entre el 25 y el 30 de abril.
El 7 de mayo hubo un segundo acceso: Canvas mostró un mensaje de extorsión y quedó fuera de línea. En la Universidad de Nebraska la caída duró 21 horas, durante la semana de exámenes finales.
Según Instructure, los datos involucrados fueron nombres de usuario, correos, nombres de cursos, inscripciones y mensajes. Dice que el contenido de los cursos, las entregas y las credenciales no se comprometieron.
El grupo que reclamó el ataque habló de cifras de personas e instituciones afectadas que Instructure no confirmó. El 11 de mayo la empresa anunció un "acuerdo" con el actor y dijo que los datos fueron devueltos y destruidos, algo que no puede garantizarse de forma independiente.

Datos verificados al 24 de octubre de 2026.

Qué pasó

Canvas es un sistema de gestión de aprendizaje: el lugar donde docentes y estudiantes publican material, entregan trabajos, rinden exámenes y se escriben mensajes. Según la Universidad de Nebraska, tiene más de 8.000 clientes institucionales y más de 30 millones de usuarios en el mundo. iProfesional informó el 8 de mayo de 2026 que en Argentina diversas universidades emplean la herramienta. El caso interesa a colegios, institutos y universidades de Córdoba, y a quien venda cursos online: muestra qué pasa cuando los datos de tus alumnos viven en la plataforma de otro.

La secuencia, según las fuentes citadas:

25 al 30 de abril: ventana en la que, según Instructure le informó a la Universidad de Nebraska, ocurrió el acceso no autorizado a su entorno.
29 de abril: Instructure detectó la actividad, revocó el acceso y contrató peritos forenses externos, según su comunicado.
1 y 5 de mayo: Nebraska recibió el primer correo de Instructure el 1. El 5 le confirmaron que había datos de la universidad afectados.
6 de mayo: según Krebs on Security, Instructure dijo que la información incluía nombres, correos, números de estudiante y mensajes, y que creía que el incidente estaba contenido.
7 de mayo: segundo acceso. Los usuarios vieron un mensaje de extorsión en lugar del ingreso habitual y Instructure puso Canvas en mantenimiento. Según la empresa, detectó y cortó ese ataque unos 10 minutos después de que empezara, sin acceso a datos adicionales.
9 y 11 de mayo: el 9, Instructure informó que Canvas estaba totalmente en línea. El 11 anunció un acuerdo con el actor.
14 y 20 de mayo: en Nebraska, la sincronización de notas volvió el 14 y las integraciones con Zoom y Microsoft 365, el 20.
29 de septiembre: Instructure comunicó que terminó la revisión forense de los datos y que las próximas novedades irán directo a las instituciones afectadas.

Cómo ocurrió, explicado sin tecnicismos

Instructure explicó que, en los dos incidentes, el actor usó una cuenta de Free-For-Teacher, un producto gratuito para docentes que la empresa discontinuó de forma permanente. El Departamento de Educación de EE. UU. lo describió como un tipo de cuenta gratuita que suele usarse fuera de los entornos que administran las instituciones. Piensa en un edificio compartido por miles de instituciones con una puerta lateral para visitantes gratuitos: según la empresa, por ahí se entró las dos veces y esa puerta ya se cerró.

Tampoco fue un "secuestro" de archivos en el sentido clásico. La Universidad de Maryland lo describe como extorsión y señala que no cumple la definición completa de ransomware, porque Instructure seguía teniendo acceso a los datos. En términos cotidianos: no cerraron tus archivos con llave, amenazaron con difundir una copia.

Sobre quién está detrás: Instructure no nombra al grupo en sus comunicados, y lo describe como una organización cibercriminal conocida por ataques a gran escala. El Departamento de Educación de EE. UU. menciona que un grupo identificado como ShinyHunters reclamó el ataque, y según The Stanford Daily fijó el 12 de mayo como plazo para que las escuelas negociaran. Es una reivindicación del propio grupo, no una conclusión de una investigación pública.

Qué se sabe y qué todavía no

Tema	Lo que informa Instructure	Lo que afirma el grupo (no confirmado)
Datos	Nombres de usuario, correos, nombres de cursos, inscripciones y mensajes. Sin evidencia de contraseñas, fechas de nacimiento, documentos ni datos financieros.	Según Krebs on Security: varios miles de millones de mensajes privados, además de nombres, teléfonos y correos.
Alcance	No publicó una cifra total de personas afectadas en los comunicados que revisamos.	275 millones de estudiantes y docentes en casi 9.000 instituciones.
Desenlace	Acuerdo del 11 de mayo, datos devueltos y "confirmación digital de destrucción".	Plazo hasta el 12 de mayo para negociar, con amenaza de publicar.

Lo que está respaldado

Hubo acceso no autorizado a datos y un segundo acceso, el 7 de mayo, que dejó Canvas fuera de línea. Lo confirma Instructure, y la caída del 7 de mayo la corroboran la Universidad de Nebraska y el diario The Stanford Daily.
Instructure reconoce los tipos de datos de la tabla. El Departamento de Educación de EE. UU. aclara que algunos mensajes podrían contener datos personales.

Lo que no está confirmado

Cuántas personas se vieron afectadas. La cifra de 275 millones es del grupo y no figura en los comunicados de Instructure. Según The Stanford Daily, la empresa cuestionó las afirmaciones del grupo y dijo que no encontró evidencia de filtración de contraseñas ni fechas de nacimiento.
Si los datos se destruyeron. La Universidad de Nebraska aclara que lo informado por Instructure no puede garantizarse de forma independiente.
Los términos del acuerdo. Instructure habla de "acuerdo". Krebs on Security lo describió como un pago a los extorsionadores a cambio de la promesa de destruir los datos. La página de Instructure que revisamos no usa la palabra pago ni publica montos.
Quién fue notificado y cuándo. El 5 de junio, la Universidad de Maryland escribió que Instructure aún no había notificado a las personas afectadas. La empresa dijo que avisará directamente a los contactos principales de cada institución y pidió no confiar en listas de terceros. En julio anunció que entregaría a cada institución un paquete con sus datos a través de su contacto de seguridad designado y, el 29 de septiembre, dijo que comenzaba la fase final: entregar los datos a las instituciones afectadas que faltan. En la página de Instructure no hay una cifra de personas notificadas.
Si hay instituciones argentinas afectadas. En las fuentes que revisamos no hay un listado confirmado.

Qué lecciones deja para una pyme o un profesional de Córdoba

Si tu colegio, instituto, academia o curso online usa una plataforma en la nube, estas acciones salen directamente de lo que mostró este caso.

Pide por escrito el plazo de aviso de incidentes. Nebraska recibió un primer correo el 1 de mayo y la confirmación de que había datos de la universidad afectados el 5. El propio CEO de Instructure reconoció el 8 de mayo que la comunicación con su comunidad no fue consistente. Pregunta a tu proveedor en cuánto tiempo avisa, a quién y con qué detalle, y que quede por escrito en el contrato.
Designa un contacto de seguridad con nombre propio. Instructure pidió a las instituciones designar a una persona, no una casilla compartida, y avisó que quien lo hiciera después de la fecha límite recibiría su paquete de datos en una entrega posterior. Revisa quién figura hoy como contacto en cada plataforma que usas.
Carga solo los datos necesarios. Los mensajes entre usuarios estaban entre los datos involucrados y pueden contener datos personales. Define qué datos de alumnos necesitas realmente y pide que no se envíen DNI, certificados u otros documentos por la mensajería interna.
Cierra cuentas sueltas y refuerza los accesos. El caso pasó por una cuenta gratuita para docentes. Haz un inventario de quién accede, desactiva las cuentas gratuitas o creadas por fuera de la institución, activa la verificación en dos pasos y renueva las claves de las integraciones con otros servicios, como recomiendan el Departamento de Educación de EE. UU. (cuentas y verificación en dos pasos) e Instructure (renovar integraciones y claves).
Ten tu propia copia de lo esencial. Calificaciones, listados de inscriptos y materiales críticos, exportados cada tanto a un lugar que controles. Pregunta qué exportaciones ofrece el proveedor y pruébalas antes de necesitarlas.
Prepara el plan para una caída en época de exámenes. En Nebraska fueron 21 horas durante la semana de finales, y algunas integraciones tardaron hasta el 20 de mayo. Decide con anticipación qué se hace si no hay plataforma (examen oral o presencial, prórroga), quién lo decide y por qué canal propio avisas a los alumnos, sin depender de la plataforma caída.
Enseña a reconocer mensajes falsos. Que un mensaje traiga datos reales, como tu nombre o tu curso, no prueba que sea legítimo. La Universidad de Maryland recomendó estar atento al phishing por correo o texto y al vishing por llamada, y verificar los mensajes inesperados por otro canal.

Si necesitas ayuda para ordenar estos puntos, el equipo de Julián Bagilet hace revisión y refuerzo de seguridad para pymes, colegios y profesionales de Córdoba. Puedes conocer el servicio de seguridad informática o leer la guía de seguridad informática en Córdoba. Si tu institución trata datos personales, hay una nota sobre la Ley 25.326 de protección de datos personales (no reemplaza el consejo legal). Otro caso donde el punto débil estuvo en un proveedor: el gusano en paquetes npm y la cadena de suministro de software.

Preguntas frecuentes

¿Se filtraron contraseñas en el caso de Canvas?

Según Instructure, no hay evidencia de que contraseñas, fechas de nacimiento, documentos de identidad o datos financieros hayan estado entre los datos involucrados.

¿Pagó Instructure un rescate?

Instructure habla de un "acuerdo" con el actor y no publicó montos ni usa la palabra pago. Krebs on Security lo describió como un pago a los extorsionadores. Como criterio general, el estudio no recomienda pagar a extorsionadores: pagar no garantiza que los datos se destruyan, y eso, como aclara Nebraska, no puede garantizarse de forma independiente.

¿Cómo sé si mis datos están entre los afectados?

Pregúntale a tu institución. Según Instructure, la información por institución llega a los contactos de seguridad designados, y las novedades posteriores se envían directamente a las instituciones afectadas.

Fuentes

Instructure, "Security Incident Update & FAQs" (actualizaciones del 8 de mayo al 29 de septiembre de 2026).
Krebs on Security, "Canvas Breach Disrupts Schools & Colleges Nationwide" (7 de mayo de 2026, con actualizaciones del 8 y el 11 de mayo).
University of Nebraska, "April/May 2026 Global Canvas Incident FAQ" (página sin fecha; último hito del 20 de mayo de 2026).
University of Maryland, Division of IT, "2026 Canvas Data Breach: What We Know" (5 de junio de 2026).
The Stanford Daily, "Criminal hacker group ShinyHunters breaches Canvas" (7 de mayo de 2026).
U.S. Department of Education, Federal Student Aid, "Technology Security Alert: Ongoing Cybersecurity Incident Involving the Canvas Learning Management System" (12 de mayo de 2026, actualizado el 29 de mayo).
iProfesional, "Alarma global por un ciberataque a Canvas: miles de universidades afectadas" (8 de mayo de 2026).