ShinyHunters, el prolífico grupo criminal de hackers y extorsión, proporcionó el jueves detalles adicionales sobre su reciente violación de Canvas, el sistema de gestión de aprendizaje desarrollado por Instructure, con la esperanza de obtener pagos de algunas de las casi 9.000 instituciones educativas que, según afirma, están afectadas.

Después de anunciar el 1 de mayo que había extraído varios terabytes de datos que contenían información personal de 275 millones de usuarios, anunció como fecha límite el jueves antes de que «todo se filtre y no habrá ninguna posibilidad de negociación para nadie. Instructure ni siquiera se ha molestado en hablar con nosotros para comprender la situación o negociar con nosotros para evitar la divulgación de estos datos. Nuestra demanda no era ni siquiera tan alta como se podría pensar».

El jueves, el grupo presentó a los usuarios de Canvas un segundo mensaje y extendió el plazo de pago hasta el 12 de mayo. «ShinyHunters ha violado Instructure (nuevamente). En lugar de contactarnos para resolverlo, nos ignoraron e hicieron algunos 'parches de seguridad'», se lee en la nota. El grupo aconsejó a las escuelas afectadas que consultaran a profesionales de seguridad y utilizaran el protocolo de mensajería Tox para negociar un “acuerdo”.

La lista adjunta de instituciones afectadas incluye muchos distritos escolares, junto con universidades de renombre, incluidas Cambridge, Columbia, Cornell, Georgetown, Harvard, MIT y UC Berkeley.

Hay informes contradictorios sobre exactamente qué organizaciones se ven afectadas y qué tipo de datos se incluyen en la infracción. Radar tecnológico informó que los datos afectados incluyen nombres, direcciones de correo electrónico, números de identificación de estudiantes y comunicaciones de usuarios, pero que las contraseñas, fechas de nacimiento e información financiera no estaban involucradas.