Ciberataque contra la plataforma educativa Canvas: escuelas en EE. UU. aplazan los exámenes finales
El sistema de gestión del aprendizaje Canvas, operado por Instructure, fue víctima de un ciberataque coordinado en todo Estados Unidos a partir de las 04:30 hora del Este del viernes 8 de mayo. El ataque coincidió con el comienzo oficial de la semana de exámenes finales, y miles de escuelas, institutos y universidades tuvieron que aplazar las pruebas de fin de curso. Según Instructure, se trató de una combinación coordinada de ataques DDoS y exfiltración de datos que afectó al 78 % del sistema.
Canvas es el mayor sistema de gestión del aprendizaje de América del Norte, utilizado por más de 30 millones de estudiantes activos y 1,2 millones de profesores. Entre las instituciones afectadas figuran Harvard, Stanford, MIT, el sistema de la Universidad de Texas, el sistema de la California State University y, en el ámbito K-12, el Los Angeles Unified School District (LAUSD). El número total de estudiantes afectados se estimó en 14 millones en las primeras 24 horas de notificaciones.
El ataque se detectó a las 04:30 del viernes cuando la página de inicio de sesión de Canvas dejó de responder. El equipo de seguridad de Instructure asumió al principio que era un problema de rendimiento, pero a las 09:30 se activó una alerta de exfiltración de datos. La directora de seguridad de la información (CISO) de la empresa, Sandra Park, declaró en una rueda de prensa: «Por la manera en que se construyeron los primeros paquetes, concluimos que se trataba de un ataque planificado y sostenido.»
Los datos robados aún no han sido categorizados por completo. Park afirmó: «Nuestra mayor preocupación es la posibilidad de que se hayan sustraído registros de identidad de estudiantes y plantillas de respuestas de exámenes. Prevemos completar el análisis de impacto a finales de esta semana.» La empresa no ha dado todavía una estimación del coste de los servicios de protección de identidad para 14 millones de estudiantes. Los analistas del sector señalan que filtraciones de este tipo añaden unos 280 dólares por usuario al año en costes de protección.
La división de delitos cibernéticos del FBI abrió una investigación el viernes por la tarde. El portavoz del FBI, Jordan Mitchell, declaró: «Lo tratamos como una amenaza global. La identidad del grupo detrás del ataque aún no se ha confirmado, pero el análisis técnico muestra indicios compatibles con un grupo de Europa del Este.» La Agencia de Ciberseguridad e Infraestructuras de Estados Unidos (CISA) emitió un aviso instando a las entidades educativas federales a cambiar temporalmente a plataformas alternativas.
Las reacciones de las instituciones fueron variadas. Harvard pospuso los exámenes a la semana siguiente. Stanford recibió propuestas de urgencia para una versión en papel y lápiz. MIT pasó a exámenes para hacer en casa. La mayoría de los pequeños colleges, sin recursos para reorganizarse tan rápido, simplemente canceló los exámenes y decidió calificar el semestre sobre la base de parciales y trabajos. Algunos estudiantes temen que la situación afecte sus tiempos de graduación.
En el LAUSD, 660.000 estudiantes K-12 se vieron afectados. El superintendente Alberto Carvalho dijo el viernes por la noche: «La infraestructura de nuestra educación no debería depender tanto de una única plataforma. Este es un problema de inversión más amplio.» El distrito consultará a un comité sobre la diversificación de proveedores de tecnología educativa.
El grupo detrás del ataque aún no ha reivindicado el incidente públicamente. Un informe preliminar de la firma de análisis de malware Crowdstrike indicó que la vulnerabilidad utilizada estaba vinculada a un CVE de proxy Apache publicado en marzo de 2026 (CVE-2026-1247). Es posible que Instructure no aplicara el parche de marzo; la CISO Park dijo que la cuestión «sigue bajo revisión».
La industria edtech lleva años preocupada por la superficie de ataque que trae la digitalización. Una investigación de NPR el año pasado señaló que el 73 % de los distritos escolares de EE. UU. habían sufrido algún tipo de incidente cibernético en los últimos tres años. La intensidad de los ataques en el ámbito K-12 refleja la estructura federal del país, que deja a cada distrito con su propio presupuesto informático y suele dejar sistemas sin parchear.
A mayo de 2026, el plazo de retorno al servicio de Canvas se estima en 72 horas; el análisis de los datos filtrados llevará al menos dos semanas. Las escuelas afectadas han decidido extender los exámenes durante la semana del 14 al 21 de mayo. Para los proveedores edtech, el incidente se ha leído como una advertencia: deben vender resiliencia de seguridad tanto como precio y funciones. «Este sector ha llegado al momento de replantearse la arquitectura de seguridad como prioridad de negocio», dijo la profesora Anita Patel, investigadora en tecnología educativa en Stanford.