- A plataforma de gestão de aprendizagem Canvas, da Instructure, ficou fora do ar após confirmar uma grande violação de dados, e Canvas, Canvas Beta e Canvas Test foram colocados em modo de manutenção
- Entre os dados afetados pela violação estão nomes de estudantes, endereços de e-mail, números de ID e mensagens
- Estudantes que acessaram o Canvas viram uma mensagem em que o grupo de hackers ShinyHunters reivindica a responsabilidade pelo ataque e ameaça divulgar dados de escolas
- A ShinyHunters ameaçou vazar todos os dados se não houver negociação até o fim do dia de 12 de maio de 2026, e exigiu que as escolas afetadas entrem em contato de forma privada via TOX para chegar a um acordo
- A Instructure distribuiu patches na semana passada para reforçar a segurança do sistema após a violação, enquanto a ShinyHunters afirma em seu site de vazamento de dados que possui dados de 9.000 escolas e de 275 milhões de estudantes, professores e funcionários
Situação da indisponibilidade
- A página de status da Instructure informou que “Canvas, Canvas Beta e Canvas Test foram colocados em modo de manutenção”
- A Instructure disse que espera restaurar o serviço em breve e fornecer atualizações assim que possível
Ameaças da ShinyHunters
- A ShinyHunters afirma que invadiu a Instructure novamente e alega que a empresa aplicou “patches de segurança” sem entrar em contato com o grupo
- A mensagem inclui um link para uma lista de escolas que, segundo a ShinyHunters, foram comprometidas por meio do Canvas
- O grupo exige que as escolas presentes na lista, caso queiram impedir a divulgação dos dados, consultem uma empresa de assessoria cibernética e depois entrem em contato de forma privada via TOX para negociar um acordo
Escala do impacto e alegações anteriores
- A ShinyHunters já havia reivindicado responsabilidade anteriormente por ataques contra Ticketmaster, AT&T, Rockstar Games, ADT e Vercel
- Segundo o Bleeping Computer, a ShinyHunters afirma em seu site de vazamento de dados que há 9.000 escolas e dados de 275 milhões de estudantes, professores e outros funcionários
1 comentários
Comentários no Hacker News
Do ponto de vista de quem está na linha de frente, eu dou aula em uma universidade que usa o Canvas e estamos em semana de provas finais
Hoje às 17:17 EDT recebemos o primeiro e-mail de aviso de indisponibilidade da secretaria acadêmica, seguido por outros às 18:24 e 18:57, mas eles falavam mais sobre procedimentos de compensação e contingência do que sobre o que realmente aconteceu
Fora “interrupção nacional” e “ataque de cibersegurança”, não houve detalhes, e a universidade também parece não saber mais do que isso
O que chama atenção é que mandaram orientar os alunos a enviarem por e-mail diretamente aos professores os trabalhos entregues pelo Canvas, o que não passa muita confiança de que isso vá voltar logo
No meu caso, o impacto pessoal é pequeno. Sou professor de CS, então boa parte do trabalho dos alunos é feita nos equipamentos do departamento e enviada por lá, e as provas de verdade são em papel
Mais importante: eu nunca confiei no boletim de notas do Canvas, então publico as notas lá apenas para conferência dos alunos, enquanto o registro original sempre fica em uma planilha local
Mas para muitos colegas isso é um desastre do nível de “o prédio pegou fogo e todas as provas e livros de notas sumiram”
Até professores que só dão aula presencial migraram a maior parte das avaliações para o recurso de “quiz” do Canvas, aplicam até as provas finais por lá e usam o boletim do Canvas como registro original
A administração também vinha incentivando isso, dizendo que “facilita o envio das notas”. Esses professores podem ter pouco ou nenhum material dos alunos fora dali, e os próprios alunos podem não ter nada para reenviar por e-mail, porque fizeram tudo dentro do Canvas; até notas e presença podem ter sido mantidas só lá
Se tiverem enviado as notas parciais de março, talvez pelo menos isso esteja acessível, mas pode ser só isso mesmo
Meu palpite é: ou resolvem em poucas horas, ou vai levar semanas. Se houver backup com air gap e for só subir servidores novos, é a primeira opção; se não, é a segunda. Não parece haver muito meio-termo
Se isso não estiver resolvido até amanhã de manhã, realmente não sei como a nossa universidade e muitos professores pelo país vão conseguir lançar notas de forma justa e razoável
Num cenário extremo, talvez tenham de fazer como no semestre da pandemia, e como no semestre em que dois grandes prédios acadêmicos da nossa universidade realmente pegaram fogo uma semana antes das finais: até disciplinas que normalmente dão nota por letra teriam de ser lançadas como aprovado/reprovado. O que mais daria para fazer?
Claro, dava para não colocar todos os ovos na mesma cesta e não confiar tanto na “nuvem”, mas esse barco já partiu. Fico curioso se alguém vai tirar alguma lição disso no longo prazo
Atualização: às 23:45 EDT, a instância do Canvas da nossa universidade voltou a funcionar. Espero que continue assim, mas por precaução vou baixar algumas coisas
O fato de não fazerem isso é claramente porque querem controlar os dados, e eu realmente não entendo por que as universidades não exigem isso
Hoje, tudo o que sabemos veio de threads no Reddit e no Hacker News. Nas comunicações oficiais não se falou em ataque em nenhum momento, mas a página de login tinha sido alterada pelo ShinyHunters
E fico torcendo para que chegue o dia em que o SaaS desapareça e a gente possa voltar a implantar software que controla e modifica conforme a necessidade
Na verdade, esse seria o jeito certo; notas de tarefas ao longo do semestre, ou pior ainda, nota por presença, não são necessárias para avaliar se o aluno aprendeu o conteúdo. Faz a prova e pronto
Surpreende ver tão poucos comentários nesta thread. Provavelmente milhões de estudantes estão sendo afetados no período mais estressante do ano
Eu já detestava o Canvas e provavelmente todas as outras empresas de LMS, mas esta falha é especialmente irônica porque aconteceu exatamente no momento em que as universidades, por causa das exigências de conformidade com a ADA, vêm obrigando todos os professores sem exceção a colocar todo o material no Canvas
Por exemplo, até mandar os alunos consultarem um PDF num site pessoal é explicitamente proibido
Acho que muita gente aqui não percebe o quanto muitos docentes também detestam ser obrigados a usar o Canvas
Outra preocupação séria que tenho com o Canvas é a possibilidade de estarem usando todo o material publicado pelos professores para treinar substitutos de IA. Os colegas fazem bastante humor negro sobre isso, mas quase não vejo ação concreta
Até agora, a administração mandou um e-mail começando com “o Canvas informa que”, e uma hora depois outro dizendo que “o Canvas está indisponível por tempo indeterminado”, para mostrar que entende a gravidade
Para quem não conhece, o Canvas é mais ou menos uma wiki de curso com recursos como quizzes embutidos
Então os estudantes talvez tenham de voltar para a sala de aula, o que pode ser um espetáculo à parte. No primeiro dia, a sala costuma ficar quase lotada, às vezes até com gente em pé, e depois vai esvaziando. Em turmas de 100 alunos, pode chegar um ponto em que só uns 10 aparecem
Se o Canvas não voltar rápido, o caos no mundo real pode aumentar bastante também por causa disso
Tudo bem, leitor de PDF não é o ideal para leitor de tela, mas não bastaria subir também uma cópia em
.html?Deveria ser ilegal qualquer empresa pagar resgate de ransomware. Sem exceção, nunca se deveria pagar
A punição para os atacantes deveria estar ligada ao sistema que eles comprometeram. Se atacaram um hospital e alguém morreu, isso deveria dar prisão perpétua ou pena de morte. A pena mínima precisa ser dolorosa o suficiente para desestimular o ataque
Claro que isso sozinho não resolve, e as empresas também precisam ser responsabilizadas por investir pouco em segurança. Todo ataque deveria investigar se a empresa atendia às melhores práticas consensuais do setor, padrões de equipe etc.; se não atendia aos requisitos, deveria haver punição exemplar
Violações continuam acontecendo e ninguém se importa. No pior caso, a empresa perde alguns clientes e compra um pouco de “monitoramento de crédito”
Depois de incidentes assim deveria haver auditoria e denúncia criminal. Executivos deveriam ir para a cadeia por falhas de segurança por negligência. Se alguém pode ser preso por fraude contábil, também deveria poder ser preso por fraude em promessas de cibersegurança
Eles afirmam cumprir vários padrões de segurança https://www.instructure.com/en-au/trust-center/compliance
Eu gostaria de ver, numa auditoria posterior, quanto disso foi realmente implementado
Se soldados norte-coreanos fossem aos EUA e roubassem US$ 200 milhões em ouro de Fort Knox, haveria retaliação. Mas se tiram a mesma quantia hackeando empresas americanas, o governo federal não faz nada
Eu adoraria ver o mesmo princípio aplicado a ataques de ransomware, extorsão e vazamento de dados. Se isso leva alguém ao suicídio, é homicídio
Meus filhos estão no meio da semana de provas finais. Está um caos total
As universidades não sabem de nada, o Canvas insiste que está em “scheduled maintenance”, e um professor disse que “não tem cópia offline do material”, o que parece bastante imprudente
Uma turma de uma disciplina popular provavelmente vai acabar fazendo prova em papel, enquanto outras turmas aparentemente já fizeram mais cedo hoje uma prova no Canvas com regra do tipo “segunda tentativa vale metade dos pontos”
Quanto tempo até nomes e notas aparecerem em algum dump de dados?
Isso é como o TurboTax, nos EUA, marcar “scheduled maintenance” em 14 de abril
Pela página de status, aparentemente isso ainda conta como 99,996% de uptime. Bom lembrar disso
Um amigo que dá aula no MIT disse que foi atingido por isso
Achei irônico e meio triste que um lugar como o MIT não tivesse equipe de TI para manter uma solução on-premise para esse tipo de uso
Mas aí descobri que o MIT tinha um sistema próprio e recentemente migrou para o Canvas. Devem estar se arrependendo agora
Nos últimos 10 anos, parece que as decisões de construir internamente vs comprar penderam demais para comprar, o que é uma pena
Claro, organizações devem focar em sua competência central, e às vezes faz sentido terceirizar o que não é competência central. Mas sempre há desvantagens
LMS é simplesmente um software absurdamente complexo. Eu me envolvi com a versão própria da minha universidade quando estava na graduação
Gente de TI ambiciosa e competente não fica muito tempo na educação. Os salários são muito baixos em comparação com a indústria
Onde eu trabalhava, depois de certo tempo de casa você tinha direito a uma aposentadoria confortável, então a equipe de TI tentava terceirizar o máximo possível para não assumir nenhum risco com fundos de aposentadoria. A lógica era culpar consultores por tudo e trabalhar o mínimo possível
É literalmente um lugar onde sonhos morrem
O MIT é famoso por grandes professores e alunos, mas no fim operar uma universidade é algo bem padronizado. Não precisa de um gênio rockstar para administrar servidores de plataforma de aula
Sou aluno de Stanford, e esta indisponibilidade está causando um impacto enorme na universidade toda
Ao contrário de escolas da Costa Leste como Brown, Harvard e MIT, nós estamos em trimestre, então acabamos de sair das provas de meio de período
Felizmente, o departamento de CS é totalmente independente do Canvas, mas a maior parte das minhas disciplinas de humanas não é
Uma aula de história da arte pediu para enviar o trabalho intermediário para uma pasta no Google Drive, e outra disciplina suspendeu os quizzes semanais
Isso mostra o quanto alunos e professores dependem do Canvas. Espero que isso reacenda a discussão sobre se afastar de uma plataforma que, do ponto de vista do estudante, já não era grande coisa
Uma coisa é mirar empresas; outra é mexer com estudantes. Estudantes deveriam ficar fora disso
A resposta do Canvas está péssima. Não há comunicação nem atualizações de status
Parece que a plataforma inteira foi comprometida, e o fato de ainda não haver um único relatório real sobre a violação de segurança já ocorrida também passa uma imagem muito ruim
Como a maioria das escolas nos EUA está em período de provas finais, fico curioso para ver quão rápido vão aparecer violações de SLA e processos judiciais
A cultura parece cheia de arrogância, sustentada pela posição de mercado deles
Antigamente, muitas universidades operavam sistemas estudantis próprios ou on-premise
Este é o lado ruim da centralização em nuvem. Quando a infraestrutura é comprometida, não são uma ou duas instalações isoladas que sofrem, mas todo mundo
Fico imaginando como se sentem agora em relação a essa decisão. Por outro lado, poder dizer “a culpa não é nossa” talvez seja mais confortável do que se fosse uma vulnerabilidade do próprio sistema
Dependendo da falha, pode até ser mais fácil se administradores on-premise não tiverem aplicado todas as medidas de segurança recomendadas
Na verdade, o que mais me intriga é se a Instructure tem responsabilidade financeira nisso. A falha técnica foi do lado da Instructure, mas quem está recebendo a demanda de resgate são as universidades, o que é interessante
Estou acostumado com SLA de uptime; como seria um SLA de violação de segurança?
Agora ela pode sair da mesa como um dealer de blackjack, batendo as mãos e mostrando as palmas, sem responsabilidade. Talvez essa seja uma das maiores vantagens de usar um produto em vez de construir
Também tem valor poder culpar outra parte, e cair junto quando todo mundo cai
Quando eu estava no ensino médio, em 2016 ou 2017, encontrei um XSS muito simples no formulário de envio de tarefas e avisei meu professor de programação
Depois disso, o Canvas bloqueou minha conta e eu recebi a minha primeira, e talvez única, detenção depois da aula. Bons tempos
Foi inteligente desativarem o editor HTML dos comentários de discussão, mas esqueceram que, como era um editor rich text, dava para colocar código em
data:text/htmle copiar o elemento como HTML formatado para colar o embed assim mesmoTambém rodei o conjunto completo de XSS de exemplo do DOMPurify e encontrei uma forma de fazer o computador de alguém baixar conteúdo personalizado
Se alguém souber dos bastidores, fiquei me perguntando se o Parchment também foi potencialmente afetado
A Instructure comprou a empresa há alguns anos, e ela lida com uma quantidade enorme de históricos escolares
Edit: https://status.parchment.com/ diz: “Canvas, Canvas Beta e Canvas test estão indisponíveis no momento, mas estamos monitorando simultaneamente todos os outros ambientes de produto, incluindo o Parchment. Até o momento, não há motivo para acreditar que os recursos do Parchment tenham sido afetados”