El ataque a Canvas afecta a instituciones educativas y datos de alumnos

Qué ocurrió

Instructure, la empresa desarrolladora de la plataforma educativa Canvas, informó de un incidente que afectó al acceso al servicio y a información perteneciente a instituciones educativas que lo utilizan. Reuters recogió que el alcance llegaba a miles de organizaciones que dependen de la plataforma para su actividad diaria.

Al tratarse de un servicio SaaS ampliamente usado por centros educativos, un único incidente en el proveedor puede repercutir simultáneamente en muchas instituciones distintas, cada una con su propio volumen de datos de alumnos, profesores y personal administrativo.

Qué enseña sobre depender de un SaaS educativo o de gestión

Los servicios en la nube compartidos por muchas organizaciones concentran un volumen de datos muy superior al que gestionaría cada institución por separado, lo que los convierte en objetivos de alto valor para los atacantes y en un punto único de fallo para todos sus clientes a la vez.

Una institución que use este tipo de plataforma debería saber, antes de que ocurra un incidente, qué datos entrega al proveedor, cómo puede exportarlos si necesita cambiar de servicio y qué alternativa operativa tiene si el acceso queda temporalmente indisponible.

Qué conviene revisar

Comprobaciones útiles para cualquier organización que dependa de un SaaS con datos sensibles:

• Qué datos de alumnos, familias o personal se comparten con el proveedor y con qué finalidad.
• Si el contrato con el proveedor especifica plazos de notificación en caso de incidente.
• Cómo se exportarían los datos si fuera necesario migrar a otra plataforma con urgencia.
• Qué actividad docente o administrativa podría continuar si el servicio queda inaccesible varios días.

Preguntas frecuentes

¿Cuántas instituciones se vieron afectadas?

Reuters recogió un alcance de miles de organizaciones que utilizan la plataforma Canvas, aunque el impacto exacto varió por institución.

¿Qué datos suelen estar en riesgo en este tipo de incidente?

Información de acceso a la plataforma y datos pertenecientes a las instituciones educativas, como los de alumnos y personal.

¿Qué puede hacer un centro educativo para reducir su exposición?

Conocer qué datos comparte con cada proveedor SaaS, exigir plazos de notificación por contrato y tener previsto cómo seguir operando si el servicio falla.