Tem conta no Canvas? A sua conta está em risco

Ataque ao Canvas poderá ter exposto dados de 275 milhões de utilizadores. E se é um utilizador, então mude já a sua palavra-passe.

A plataforma educativa Canvas, utilizada por milhares de escolas, universidades e empresas em todo o mundo, foi alvo de um ciberataque de grande escala que poderá ter comprometido dados de cerca de 275 milhões de utilizadores.

O ataque foi reivindicado pelo grupo de cibercriminosos ShinyHunters, conhecido por vários incidentes de alto perfil nos últimos anos.

Segundo as informações divulgadas, os atacantes afirmam ter roubado aproximadamente 3,65 TB de dados provenientes de mais de 8.800 instituições ligadas à plataforma. Entre os dados potencialmente expostos estão nomes, endereços de e-mail institucionais, números de identificação académica e mensagens trocadas dentro do sistema.

Plataforma usada em universidades portuguesas

O Canvas, desenvolvido pela empresa Instructure, é amplamente utilizado em instituições de ensino superior, incluindo universidades portuguesas. Em Portugal, algumas instituições já confirmaram que estão a acompanhar o incidente e a reforçar os mecanismos de segurança.

A Universidade Europeia e o IPAM indicaram que, até ao momento, não existem sinais de comprometimento de palavras-passe ou de credenciais de acesso. Ainda assim, admitiram que poderão ter sido expostos dados identificativos e comunicações académicas realizadas através da plataforma.

Nos Estados Unidos, várias universidades relataram interrupções temporárias dos serviços, com impacto em exames, materiais de aulas e acesso aos sistemas internos.

Grupo ShinyHunters exige resgate

O grupo ShinyHunters terá contactado várias instituições afetadas, exigindo o pagamento de um resgate para impedir a divulgação pública dos dados roubados. Os criminosos alegam possuir informações de estudantes, professores e funcionários administrativos.

A Instructure confirmou que sofreu um incidente de segurança no início de maio e revelou que revogou credenciais comprometidas, reforçou os sistemas internos e iniciou uma investigação com especialistas externos em cibersegurança. A empresa refere que não existem indícios de exposição de palavras-passe ou dados financeiros. 

Especialistas alertam para risco de phishing

Especialistas em segurança alertam que este tipo de fuga de informação pode ser utilizado em campanhas de phishing altamente direcionadas. Com acesso a nomes reais, endereços institucionais e contexto académico, os atacantes conseguem criar mensagens falsas bastante convincentes.

Entre as recomendações estão a alteração imediata de palavras-passe, ativação da autenticação de dois fatores e atenção redobrada a e-mails suspeitos que aparentem vir de universidades ou plataformas educativas.