Un atac cibernetic asupra Canvas, una dintre cele mai folosite platforme educaționale din lume, a blocat accesul la cursuri, teme și examene pentru studenți și profesori din mai multe țări, inclusiv Statele Unite, Canada și Australia. Incidentul a fost revendicat de gruparea ShinyHunters și a afectat aproape 9.000 de școli, universități și alte instituții educaționale, potrivit Reuters și ABC Australia.
Canvas este un sistem de tip LMS, adică o platformă prin care instituțiile gestionează cursuri, materiale, teme, note, mesaje și, în unele cazuri, examene online. Pentru multe universități, nu este doar un instrument auxiliar, ci infrastructura prin care funcționează o parte importantă din activitatea academică.
Incidentul a devenit vizibil pe 7 mai, când utilizatorii unor instituții au fost redirecționați către mesaje afișate de atacatori. Instructure, compania americană care dezvoltă Canvas, a pus temporar platforma în modul de mentenanță, pentru a limita accesul neautorizat și pentru a aplica măsuri suplimentare de securitate. Reuters a relatat că studenți de la Harvard, University of Pennsylvania, Duke, UCLA și University of Nebraska s-au numărat printre cei afectați, pe baza relatărilor publicate de ziare universitare.
Efectele au apărut într-un moment sensibil pentru sistemul universitar american, în perioada examenelor finale. Inside Higher Ed a relatat că University of Illinois Urbana-Champaign a amânat examene și teme programate pentru vineri, sâmbătă și duminică, iar Baylor University a reprogramat examene finale. K-12 Dive a notat că Pennsylvania State University a anulat testele programate în seara de 7 mai și pe 8 mai, în urma incidentului.
Potrivit Economedia, care citează BBC, atacul a afectat școli și universități din SUA, Canada și Australia și a dus la examene amânate, acces blocat la lucrări și confuzie pentru studenți în timpul evaluărilor. Informația este confirmată, în linii mari, de surse internaționale precum Reuters, ABC Australia, Inside Higher Ed și K-12 Dive, deși amploarea exactă a impactului diferă în funcție de instituție.
Instructure a anunțat că incidentul a pornit de la o problemă legată de conturile „Free-for-Teacher”, o zonă a platformei folosită de profesori pentru acces gratuit la Canvas. Compania spune că a detectat prima activitate neautorizată pe 29 aprilie, iar pe 7 mai a identificat o nouă activitate legată de același incident. Conturile Free-for-Teacher au fost dezactivate temporar, iar Canvas a fost repus online.
Datele accesate ar fi inclus nume de utilizatori, adrese de e-mail, nume de cursuri, informații despre înscrieri și mesaje schimbate în platformă. Instructure susține că nu au fost compromise datele centrale de învățare, cum ar fi conținutul cursurilor, lucrările trimise de studenți și acreditările. Reuters notează aceeași poziție a companiei, care a transmis că platforma este operațională și „sigură de folosit”.
Gruparea ShinyHunters a susținut că a sustras aproximativ 6,65 terabytes de date Canvas și că acestea erau legate de aproape 9.000 de instituții educaționale. Datele ar fi inclus nume, adrese de e-mail și mesaje private între studenți, profesori și personal administrativ. Aceste cifre provin din afirmațiile atacatorilor, iar Instructure a spus că verifică în continuare exact ce organizații și persoane au fost afectate.
Pe 12 mai, Instructure a anunțat că a ajuns la un „acord” cu actorul neautorizat. Compania susține că datele i-au fost returnate, că a primit o confirmare digitală privind distrugerea lor și că a fost informată că instituțiile afectate nu vor fi extorcate. Formularea lasă însă o limită importantă: în relația cu grupări de criminalitate cibernetică nu există o garanție independentă că datele nu au fost copiate sau păstrate. Chiar Instructure precizează că „nu există niciodată certitudine completă” în astfel de situații.
Incidentul nu este important doar prin volumul de date sau numărul de instituții afectate. El arată dependența ridicată a educației de furnizori privați de software, în special în perioade critice precum examenele finale. O întrerupere a unei singure platforme poate bloca accesul la teme, materiale, comunicare, note și evaluări pentru sute de mii sau milioane de utilizatori.
Pentru instituțiile de învățământ, problema nu se reduce la securitatea tehnică a unui furnizor. Este și o chestiune de continuitate educațională: ce se întâmplă când sistemul central nu funcționează, cum sunt păstrate lucrările, ce alternative au profesorii și studenții și cât de rapid comunică furnizorul date clare despre incident.
Cazul Canvas mai arată o vulnerabilitate specifică platformelor educaționale: ele stochează nu doar date administrative, ci și comunicări personale, informații despre parcurs academic și interacțiuni între elevi, studenți și profesori. Chiar dacă parolele, documentele guvernamentale sau datele financiare nu ar fi fost compromise, mesajele și ID-urile de student pot fi folosite ulterior în tentative de phishing sau impersonare.