Doscientos setenta y cinco millones
La cifra es simple. La escala, no.
El 25 de abril de 2026, el grupo cibercriminal ShinyHunters explotó una vulnerabilidad en el nivel Free-For-Teacher de Canvas, de Instructure, el sistema de gestión del aprendizaje que utilizan universidades, distritos escolares y ministerios de educación en unos 100 países. La intrusión rindió 3,65 terabytes de datos: nombres, direcciones de correo electrónico, números de identificación de estudiantes y mensajes privados entre docentes y alumnos de 8.809 instituciones.
La primera comunicación pública de Instructure llegó el 1 de mayo. Para el 7 de mayo, ShinyHunters había escalado: desfiguraron unos 330 portales de acceso a Canvas de centros educativos con demandas de rescate, vulnerando el sistema por segunda vez. El ataque cayó durante la semana de exámenes finales. La Universidad de Pensilvania, la Universidad de Auburn y cientos de instituciones más no pudieron administrar exámenes. CNN describió a los estudiantes como «varados» a mitad de semestre.
El 11 de mayo — un día antes del plazo de ShinyHunters para publicar los datos robados — Instructure alcanzó un acuerdo de rescate. Los atacantes habrían devuelto los datos y aportado unos "shred logs" como confirmación digital de su destrucción. El importe del rescate no se ha revelado.
Doscientos setenta y cinco millones es aproximadamente la población de Indonesia. Es más que todas las personas que presentaron una declaración de la renta en Estados Unidos en 2025. Es la mayor brecha de datos educativos de la historia registrada, por un orden de magnitud.
La plataforma de la que no se puede salir
Canvas no es un producto de consumo. Los estudiantes no lo eligen. Lo eligen las instituciones, y a los estudiantes se les exige usarlo — para entregar trabajos, recibir calificaciones, comunicarse con los docentes, acceder a los materiales del curso, hacer exámenes. No hay mecanismo de exclusión. No hay una vía alternativa para completar la carrera.
Esta es la propiedad estructural que distingue las brechas de plataformas obligatorias de las brechas de datos de consumo. Cuando Equifax fue vulnerada en 2017 (147 millones de registros), los consumidores no podían haberse «dado de baja» de tener historial crediticio — pero sí podían, en teoría, congelar sus expedientes, cambiar de agencia o demandar. Cuando Canvas es vulnerada, los 275 millones de usuarios afectados no tuvieron elección previa, ni alternativa concurrente, ni salida. La brecha les ocurrió a través de un sistema que la institución que los atiende les obligaba a usar.
La plataforma obligatoria tiene una propiedad estructural que invierte la dinámica normal de mercado. Cuando se vulnera un producto de consumo, los usuarios pueden marcharse y la empresa afronta consecuencias reputacionales y de ingresos. Cuando se vulnera una plataforma obligatoria, los usuarios no pueden marcharse y la empresa no afronta ninguna disciplina de mercado impulsada por el usuario. Las únicas consecuencias vienen de los reguladores, los litigios o las penalizaciones contractuales con las instituciones — y ninguna de ellas opera a la velocidad de una brecha de datos.
ShinyHunters entendió esta palanca. Cuando la extorsión inicial contra Instructure fracasó, el grupo viró a la presión centro por centro: desfigurar individualmente los portales de acceso de las universidades y después amenazar a cada institución por separado. Los usuarios de la plataforma obligatoria — estudiantes en plena semana de exámenes finales — se convirtieron en el mecanismo de presión.
Shred logs
Instructure pagó el rescate y recibió unos "shred logs" — registros que pretenden demostrar que ShinyHunters eliminó de sus sistemas los datos robados.
El consenso de la comunidad de ciberseguridad sobre los shred logs es inequívoco. Los datos digitales pueden copiarse a cualquier número de sistemas en cualquier momento entre la exfiltración y la supuesta eliminación. Un shred log prueba que unos datos se eliminaron de una ubicación de almacenamiento concreta. No puede probar que los datos no se copiaron a otra ubicación, no se compartieron con un tercero, no se vendieron antes de pagar el rescate o no se conservaron en un sistema que el shred log no cubre. La operación de verificar la eliminación exigiría acceso a todos los sistemas que controla el atacante, algo que el atacante no va a proporcionar.
La posición del FBI sigue siendo que las organizaciones no deben pagar rescates. El pago incentiva ataques futuros, financia operaciones criminales y no ofrece ninguna garantía de destrucción de los datos. La decisión de pagar de Instructure — según se ha informado, un día antes del plazo de publicación — se tomó bajo la presión de 275 millones de registros, la disrupción de la semana de exámenes finales en miles de instituciones y la campaña escalada de desfiguración centro por centro.
El precedente es la preocupación de futuro. Si el pago del rescate produce un desenlace satisfactorio para Instructure y sus clientes institucionales, toda plataforma obligatoria de la educación, la sanidad y la administración pública se convierte en candidata al mismo manual: vulnerar la plataforma de la que los usuarios no pueden salir, extorsionar al operador bajo presión de tiempo y cobrar a cambio de una promesa que no puede verificarse.
El titular de Inside Higher Ed capturó la dinámica con precisión: "Pay or Leak" — paga o filtramos.
La puerta Free-For-Teacher
La vulnerabilidad que hizo posible la intrusión estaba en el nivel Free-For-Teacher de Canvas — un tipo de cuenta gratuita diseñado para que docentes individuales prueben Canvas sin contratación institucional. El nivel Free-For-Teacher existe en la misma infraestructura que el nivel institucional. La vulnerabilidad permitió a ShinyHunters pasar del nivel gratuito a la infraestructura general de Canvas y acceder a datos de las 8.809 implantaciones institucionales.
La lección arquitectónica es que un punto de entrada de nivel gratuito en un ecosistema de plataforma obligatoria crea una superficie de ataque sin relación proporcional alguna entre el punto de acceso y los datos que hay detrás. El nivel Free-For-Teacher atiende a docentes individuales. Los datos que hay detrás atienden a 275 millones de estudiantes en instituciones que en conjunto pagan millones en licencias por unas garantías de seguridad que creían que la plataforma proporcionaba.
La segunda intrusión del 7 de mayo — posterior a la comunicación de Instructure del 1 de mayo — demostró que la contención inicial fue incompleta. ShinyHunters accedió de nuevo al sistema, desfiguró los portales de acceso e inyectó mensajes de rescate directamente en la interfaz de usuario. Los estudiantes que intentaban entrar para sus exámenes finales veían las demandas de los atacantes en lugar de sus materiales de curso.
El patrón
Canvas no es la única plataforma obligatoria vulnerada este mes. El patrón se extiende a todas las capas institucionales en las que los usuarios no tienen elección.
Empleadores. Un estudio publicado el 21 de mayo por el Data Culture Group de la Northeastern University — dirigido por Stephanie Nguyen, ex directora técnica de la Comisión Federal de Comercio — puso a prueba nueve plataformas de bossware, software de monitorización de empleados. Las nueve compartían datos identificativos de los trabajadores con terceros. Las nueve transmitían la actividad en línea de los trabajadores, incluidas direcciones IP, información del dispositivo y páginas web visitadas, a más de 145 dominios externos. Entre los receptores están Google, Facebook, LinkedIn, Yandex y AppLovin, una plataforma de publicidad móvil con una capitalización bursátil superior a los 100.000 millones de dólares.
Los empleadores obligan a los trabajadores a instalar estas plataformas. Los trabajadores no tienen ningún mecanismo de consentimiento significativo — negarse significa perder el empleo. Los datos de monitorización fluyen del mandato del empleador al dispositivo del empleado y de ahí a la red publicitaria, con el empleado como producto en cada etapa. La UE prohibió el reconocimiento de emociones en el ámbito laboral con efecto desde el 2 de febrero de 2025. Estados Unidos no tiene restricción equivalente.
Administración pública. El Departamento de Eficiencia Gubernamental copió la base de datos NUMIDENT de la Administración de la Seguridad Social — que contiene todas las solicitudes de número de la Seguridad Social jamás presentadas, correspondientes a más de 300 millones de estadounidenses — a un servidor en la nube sin seguir los protocolos de seguridad exigidos. Un denunciante, el ex director de datos de la SSA Charles Borges, alegó que los datos se colocaron en una instancia de Cloudflare no autorizada. La propia evaluación interna de riesgos de la SSA estimó una probabilidad del 35-65 por ciento de una brecha de datos con "catastrophic adverse effect" —efecto adverso catastrófico— derivada de esas prácticas de acceso.
El Tribunal Supremo falló 6-3 a favor de permitir el acceso. El Departamento de Justicia admitió «inexactitudes y tergiversaciones» en sus escritos judiciales sobre el alcance del acceso a datos del DOGE. Al menos doce demandas federales alegan infracciones de la Ley de Privacidad de 1974.
Los estadounidenses no pueden darse de baja de la Seguridad Social. La base de datos NUMIDENT existe porque el gobierno impone la participación. Cuando la base de datos del sistema obligatorio se copia a un servidor no autorizado con una probabilidad del 35-65 por ciento de brecha catastrófica, los 300 millones de personas cuyos datos están en riesgo no tuvieron elección previa ni tienen recurso alguno.
Búsqueda con IA. Perplexity AI, una herramienta de búsqueda comercializada como respetuosa con la privacidad, presuntamente incorporó Meta Pixel, Google Ads, Google DoubleClick y la Conversions API del lado del servidor de Meta directamente en su código. Una demanda colectiva de 135 páginas presentada el 31 de marzo en el Distrito Norte de California alega que las conversaciones de los usuarios — incluidos prompts, respuestas, direcciones de correo, direcciones IP e información del dispositivo — se transmitían a Meta y Google con fines de segmentación publicitaria. El rastreo se habría producido incluso cuando los usuarios activaban el «modo Incógnito» de Perplexity, que la demanda califica de «farsa».
La Conversions API de Meta opera de servidor a servidor. Ninguna herramienta de privacidad basada en el navegador — ningún bloqueador de anuncios, ninguna protección antirrastreo, ninguna VPN — puede detectar ni impedir la transmisión. Los usuarios que tomaron todas las precauciones de privacidad disponibles fueron presuntamente rastreados mediante un mecanismo invisible para sus herramientas defensivas.
Herramientas de desarrollo. La campaña de cadena de suministro TrapDoor, observada por primera vez el 22 de mayo, plantó instrucciones ocultas dentro de archivos de configuración .cursorrules y CLAUDE.md usando caracteres Unicode de ancho cero. Esas instrucciones engañan a los asistentes de programación con IA — herramientas como Cursor y Claude Code — para que ejecuten lo que parece un «análisis de seguridad» y que en realidad recolecta credenciales, claves SSH, datos de monederos de criptomonedas y tokens de API. La campaña apuntó a desarrolladores de las comunidades de criptomonedas, DeFi e IA mediante 34 paquetes maliciosos en npm, PyPI y Crates.io.
Por separado, una versión envenenada de la extensión Nx Console de VS Code — instalada por un empleado de GitHub el 18 de mayo — condujo a la exfiltración de aproximadamente 3.800 repositorios privados internos de GitHub, incluidos componentes internos de Copilot, herramientas de CodeQL e infraestructura de seguridad. TeamPCP y LAPSUS$ publicaron los datos robados para una venta conjunta por 95.000 dólares. El ataque se originó en una credencial robada mediante el compromiso de la cadena de suministro de npm de TanStack siete días antes — una brecha recursiva de cadena de suministro a plataforma en la que cada compromiso habilitaba el siguiente.
El argumento estructural
La propiedad común a estas brechas no es una vulnerabilidad compartida, ni un atacante compartido, ni una pila tecnológica compartida. Es una arquitectura compartida: la plataforma obligatoria.
Cuando una plataforma es obligatoria — impuesta por un centro educativo, un empleador, un gobierno o la necesidad práctica del utillaje profesional —, el usuario no puede marcharse. Su permanencia en la plataforma no es una señal de confianza ni de satisfacción; es una condición para participar en la institución a la que la plataforma da servicio. La brecha no produce la consecuencia de mercado que disciplina a las plataformas voluntarias.
El resultado es una asimetría. La palanca del atacante es proporcional a la fuerza del mandato. ShinyHunters entendió que la semana de exámenes finales en 8.809 instituciones creaba una presión temporal irresistible. El DOGE entendió que el sistema de la Seguridad Social no tiene alternativa competitiva. Los proveedores de bossware entienden que los empleados no pueden rechazar la instalación. Perplexity entendió que los usuarios que buscan privacidad en una herramienta de IA no esperarían un rastreo del lado del servidor invisible para su navegador.
En cada caso, la incapacidad de los usuarios para salir es la condición previa del impacto de la brecha.
La arquitectura que no requiere permiso
La respuesta del lado del usuario al riesgo de la plataforma obligatoria es la misma que esta publicación viene documentando en todos los ámbitos de la libertad en internet: arquitecturas en las que el usuario posee las claves, el transporte no atraviesa la capa intermediaria y la brecha de la plataforma no compromete los datos del usuario porque la plataforma nunca los tuvo.
Mensajería cifrada de extremo a extremo donde el servidor solo ve texto cifrado. Sistemas de gestión del aprendizaje autoalojados donde la institución controla sus propios datos. Identidad federada con divulgación selectiva donde quien posee la credencial decide qué comparte y con quién. IA de inferencia local donde la consulta nunca sale del dispositivo del usuario. Tokens de autenticación por hardware que no pueden suplantarse mediante flujos de código de dispositivo. Agilidad criptográfica poscuántica donde la pila de protocolos evoluciona por delante de la amenaza.
Ninguna de estas herramientas requiere el permiso de una institución para desplegarse. Ninguna depende de las prácticas de seguridad de una plataforma obligatoria. Ninguna produce un depósito de datos que un atacante pueda exfiltrar en una sola brecha.
La intrusión en Canvas expuso 275 millones de registros porque Canvas albergaba 275 millones de registros en un sistema centralizado accesible a través de una única vulnerabilidad. La arquitectura que distribuye el control a los extremos — donde el estudiante posee la clave, el centro guarda lo mínimo y la plataforma nunca acumula los 3,65 terabytes que ShinyHunters encontró — no elimina el riesgo. Pero elimina la propiedad estructural que hizo posible la intrusión en Canvas a esta escala: una puerta, 275 millones de registros detrás.
Doscientos setenta y cinco millones no tuvieron elección
La plataforma obligatoria es la arquitectura de la compulsión. El estudiante usa Canvas porque la universidad lo exige. El trabajador instala la aplicación de monitorización porque el empleador lo exige. El ciudadano tiene un número de la Seguridad Social porque el gobierno lo exige. El desarrollador usa la extensión del IDE porque el flujo de trabajo lo exige.
En cada capa, el mandato crea la centralización, la centralización crea el objetivo y la brecha crea la consecuencia que ningún usuario individual puede prevenir, mitigar ni esquivar.
Doscientos setenta y cinco millones de estudiantes no tuvieron elección sobre si sus datos estarían en manos de Canvas. No tuvieron elección sobre si existía la vulnerabilidad de Free-For-Teacher. No tuvieron elección sobre si Instructure pagaba el rescate. No tienen forma de verificar si los shred logs significan algo.
La arquitectura que les daría elección no requiere el permiso de su institución. Requiere la capa de transporte que no se enruta por la plataforma obligatoria. Requiere la clave que posee el estudiante. Requiere el protocolo que no acumula 3,65 terabytes en un único depósito de datos detrás de una única vulnerabilidad.
La plataforma obligatoria es el problema. La arquitectura distribuida es la respuesta. Los 275 millones no eligieron el problema. La arquitectura les permite elegir la respuesta.
URnetwork es una red superpuesta entre pares para transporte resistente a la censura. La red superpuesta de URnetwork distribuye el control a los extremos en lugar de acumularlo en la capa de la plataforma. Los usuarios poseen sus propias claves.
https://ur.io
Referencias (16 fuentes)
Referencias
- Canvas/Instructure cyberattack — Reed Smith advisory
- Instructure reaches ransom agreement with ShinyHunters — The Hacker News
- Canvas hack during finals week — CNN
- Pay or Leak: hackers target big higher ed vendor — Inside Higher Ed
- ShinyHunters escalates Canvas extortion — Infosecurity Magazine
- Canvas × ShinyHunters full intelligence report — Protos Labs
- Workplace monitoring platforms are sharing your data — Northeastern University
- Google, Meta and Microsoft getting worker data from bossware — Digital Trends
- DOGE wanted one database of every American — State of Surveillance
- Whistleblower: DOGE put SSA database on insecure cloud — CSO Online
- Perplexity AI sent your chats to Meta and Google — State of Surveillance
- TrapDoor supply chain attack — The Hacker News
- TrapDoor AI assistant poisoning — Socket.dev
- GitHub confirms breach of 3,800 internal repos — The Hacker News
- 2026 Canvas security incident — Wikipedia
- FTC Cox Media Active Listening settlement — FTC