Notas sobre Privacidad en Internet

Publicaciones e investigación del equipo y la comunidad de URnetwork.

RSS

Doscientos setenta y cinco millones

El 25 de abril de 2026, ShinyHunters vulneró Canvas, el sistema de gestión del aprendizaje de Instructure, a través de una vulnerabilidad en las cuentas Free-For-Teacher y exfiltró 3,65 terabytes de datos correspondientes a unos 275 millones de registros de estudiantes y docentes en 8.809 instituciones educativas de todo el mundo. Canvas no es un servicio que los estudiantes elijan. Es la plataforma que sus instituciones les obligan a usar — no hay opción de salida, no hay alternativa, no hay señal de mercado que un estudiante pueda emitir marchándose. Cuando la extorsión inicial de ShinyHunters contra Instructure fracasó, el grupo viró a la extorsión institución por institución y desfiguró unos 330 portales de acceso a Canvas de centros educativos con demandas de rescate durante la semana de exámenes finales. Instructure pagó el rescate el 11 de mayo, un día antes del plazo de ShinyHunters para publicar los datos robados, y recibió unos "shred logs" —registros de destrucción— como confirmación digital de su eliminación. El FBI desaconseja el pago de rescates. Los datos digitales pueden copiarse infinitamente. Los shred logs prueban la eliminación en un sistema, no en todas las copias. La intrusión en Canvas es la mayor brecha de datos educativos de la historia registrada, por un orden de magnitud. Es también un caso de estudio estructural sobre lo que ocurre cuando la plataforma que la gente está obligada a usar es la plataforma que resulta vulnerada. El mismo patrón se repite este mes en todas las capas institucionales: las plataformas de bossware que los empleadores obligan a instalar a los trabajadores comparten datos de los empleados con 145 dominios publicitarios externos, entre ellos Google, Meta y Yandex. El equipo de eficiencia DOGE copió la base de datos NUMIDENT de la Administración de la Seguridad Social — que cubre todas las solicitudes de número de la Seguridad Social presentadas por más de 300 millones de estadounidenses — a un servidor de Cloudflare no autorizado y sin controles de seguridad. La herramienta de búsqueda de Perplexity AI, comercializada como respetuosa con la privacidad, presuntamente incorporaba rastreadores de Meta Pixel y de la Conversions API del lado del servidor que transmitían las conversaciones de los usuarios a Meta y Google para segmentación publicitaria incluso en el modo Incógnito. TrapDoor plantó instrucciones ocultas con caracteres Unicode de ancho cero dentro de archivos .cursorrules y CLAUDE.md para engañar a los asistentes de programación con IA y hacerles ejecutar código de robo de credenciales disfrazado de análisis de seguridad. En cada caso, la superficie de ataque no es el software. Es el mandato. La plataforma de la que no se puede salir es la plataforma en la que una brecha no tiene consecuencia de mercado — y, por tanto, tampoco incentivo de mercado para prevenirla. Doscientos setenta y cinco millones de estudiantes no tuvieron elección. La arquitectura que se la daría no requiere el permiso de su institución.

Doscientos setenta y cinco millones

La cifra es simple. La escala, no.

El 25 de abril de 2026, el grupo cibercriminal ShinyHunters explotó una vulnerabilidad en el nivel Free-For-Teacher de Canvas, de Instructure, el sistema de gestión del aprendizaje que utilizan universidades, distritos escolares y ministerios de educación en unos 100 países. La intrusión rindió 3,65 terabytes de datos: nombres, direcciones de correo electrónico, números de identificación de estudiantes y mensajes privados entre docentes y alumnos de 8.809 instituciones.

La primera comunicación pública de Instructure llegó el 1 de mayo. Para el 7 de mayo, ShinyHunters había escalado: desfiguraron unos 330 portales de acceso a Canvas de centros educativos con demandas de rescate, vulnerando el sistema por segunda vez. El ataque cayó durante la semana de exámenes finales. La Universidad de Pensilvania, la Universidad de Auburn y cientos de instituciones más no pudieron administrar exámenes. CNN describió a los estudiantes como «varados» a mitad de semestre.

El 11 de mayo — un día antes del plazo de ShinyHunters para publicar los datos robados — Instructure alcanzó un acuerdo de rescate. Los atacantes habrían devuelto los datos y aportado unos "shred logs" como confirmación digital de su destrucción. El importe del rescate no se ha revelado.

Doscientos setenta y cinco millones es aproximadamente la población de Indonesia. Es más que todas las personas que presentaron una declaración de la renta en Estados Unidos en 2025. Es la mayor brecha de datos educativos de la historia registrada, por un orden de magnitud.

La plataforma de la que no se puede salir

Canvas no es un producto de consumo. Los estudiantes no lo eligen. Lo eligen las instituciones, y a los estudiantes se les exige usarlo — para entregar trabajos, recibir calificaciones, comunicarse con los docentes, acceder a los materiales del curso, hacer exámenes. No hay mecanismo de exclusión. No hay una vía alternativa para completar la carrera.

Esta es la propiedad estructural que distingue las brechas de plataformas obligatorias de las brechas de datos de consumo. Cuando Equifax fue vulnerada en 2017 (147 millones de registros), los consumidores no podían haberse «dado de baja» de tener historial crediticio — pero sí podían, en teoría, congelar sus expedientes, cambiar de agencia o demandar. Cuando Canvas es vulnerada, los 275 millones de usuarios afectados no tuvieron elección previa, ni alternativa concurrente, ni salida. La brecha les ocurrió a través de un sistema que la institución que los atiende les obligaba a usar.

La plataforma obligatoria tiene una propiedad estructural que invierte la dinámica normal de mercado. Cuando se vulnera un producto de consumo, los usuarios pueden marcharse y la empresa afronta consecuencias reputacionales y de ingresos. Cuando se vulnera una plataforma obligatoria, los usuarios no pueden marcharse y la empresa no afronta ninguna disciplina de mercado impulsada por el usuario. Las únicas consecuencias vienen de los reguladores, los litigios o las penalizaciones contractuales con las instituciones — y ninguna de ellas opera a la velocidad de una brecha de datos.

ShinyHunters entendió esta palanca. Cuando la extorsión inicial contra Instructure fracasó, el grupo viró a la presión centro por centro: desfigurar individualmente los portales de acceso de las universidades y después amenazar a cada institución por separado. Los usuarios de la plataforma obligatoria — estudiantes en plena semana de exámenes finales — se convirtieron en el mecanismo de presión.

Shred logs

Instructure pagó el rescate y recibió unos "shred logs" — registros que pretenden demostrar que ShinyHunters eliminó de sus sistemas los datos robados.

El consenso de la comunidad de ciberseguridad sobre los shred logs es inequívoco. Los datos digitales pueden copiarse a cualquier número de sistemas en cualquier momento entre la exfiltración y la supuesta eliminación. Un shred log prueba que unos datos se eliminaron de una ubicación de almacenamiento concreta. No puede probar que los datos no se copiaron a otra ubicación, no se compartieron con un tercero, no se vendieron antes de pagar el rescate o no se conservaron en un sistema que el shred log no cubre. La operación de verificar la eliminación exigiría acceso a todos los sistemas que controla el atacante, algo que el atacante no va a proporcionar.

La posición del FBI sigue siendo que las organizaciones no deben pagar rescates. El pago incentiva ataques futuros, financia operaciones criminales y no ofrece ninguna garantía de destrucción de los datos. La decisión de pagar de Instructure — según se ha informado, un día antes del plazo de publicación — se tomó bajo la presión de 275 millones de registros, la disrupción de la semana de exámenes finales en miles de instituciones y la campaña escalada de desfiguración centro por centro.

El precedente es la preocupación de futuro. Si el pago del rescate produce un desenlace satisfactorio para Instructure y sus clientes institucionales, toda plataforma obligatoria de la educación, la sanidad y la administración pública se convierte en candidata al mismo manual: vulnerar la plataforma de la que los usuarios no pueden salir, extorsionar al operador bajo presión de tiempo y cobrar a cambio de una promesa que no puede verificarse.

El titular de Inside Higher Ed capturó la dinámica con precisión: "Pay or Leak" — paga o filtramos.

La puerta Free-For-Teacher

La vulnerabilidad que hizo posible la intrusión estaba en el nivel Free-For-Teacher de Canvas — un tipo de cuenta gratuita diseñado para que docentes individuales prueben Canvas sin contratación institucional. El nivel Free-For-Teacher existe en la misma infraestructura que el nivel institucional. La vulnerabilidad permitió a ShinyHunters pasar del nivel gratuito a la infraestructura general de Canvas y acceder a datos de las 8.809 implantaciones institucionales.

La lección arquitectónica es que un punto de entrada de nivel gratuito en un ecosistema de plataforma obligatoria crea una superficie de ataque sin relación proporcional alguna entre el punto de acceso y los datos que hay detrás. El nivel Free-For-Teacher atiende a docentes individuales. Los datos que hay detrás atienden a 275 millones de estudiantes en instituciones que en conjunto pagan millones en licencias por unas garantías de seguridad que creían que la plataforma proporcionaba.

La segunda intrusión del 7 de mayo — posterior a la comunicación de Instructure del 1 de mayo — demostró que la contención inicial fue incompleta. ShinyHunters accedió de nuevo al sistema, desfiguró los portales de acceso e inyectó mensajes de rescate directamente en la interfaz de usuario. Los estudiantes que intentaban entrar para sus exámenes finales veían las demandas de los atacantes en lugar de sus materiales de curso.

El patrón

Canvas no es la única plataforma obligatoria vulnerada este mes. El patrón se extiende a todas las capas institucionales en las que los usuarios no tienen elección.

Empleadores. Un estudio publicado el 21 de mayo por el Data Culture Group de la Northeastern University — dirigido por Stephanie Nguyen, ex directora técnica de la Comisión Federal de Comercio — puso a prueba nueve plataformas de bossware, software de monitorización de empleados. Las nueve compartían datos identificativos de los trabajadores con terceros. Las nueve transmitían la actividad en línea de los trabajadores, incluidas direcciones IP, información del dispositivo y páginas web visitadas, a más de 145 dominios externos. Entre los receptores están Google, Facebook, LinkedIn, Yandex y AppLovin, una plataforma de publicidad móvil con una capitalización bursátil superior a los 100.000 millones de dólares.

Los empleadores obligan a los trabajadores a instalar estas plataformas. Los trabajadores no tienen ningún mecanismo de consentimiento significativo — negarse significa perder el empleo. Los datos de monitorización fluyen del mandato del empleador al dispositivo del empleado y de ahí a la red publicitaria, con el empleado como producto en cada etapa. La UE prohibió el reconocimiento de emociones en el ámbito laboral con efecto desde el 2 de febrero de 2025. Estados Unidos no tiene restricción equivalente.

Administración pública. El Departamento de Eficiencia Gubernamental copió la base de datos NUMIDENT de la Administración de la Seguridad Social — que contiene todas las solicitudes de número de la Seguridad Social jamás presentadas, correspondientes a más de 300 millones de estadounidenses — a un servidor en la nube sin seguir los protocolos de seguridad exigidos. Un denunciante, el ex director de datos de la SSA Charles Borges, alegó que los datos se colocaron en una instancia de Cloudflare no autorizada. La propia evaluación interna de riesgos de la SSA estimó una probabilidad del 35-65 por ciento de una brecha de datos con "catastrophic adverse effect" —efecto adverso catastrófico— derivada de esas prácticas de acceso.

El Tribunal Supremo falló 6-3 a favor de permitir el acceso. El Departamento de Justicia admitió «inexactitudes y tergiversaciones» en sus escritos judiciales sobre el alcance del acceso a datos del DOGE. Al menos doce demandas federales alegan infracciones de la Ley de Privacidad de 1974.

Los estadounidenses no pueden darse de baja de la Seguridad Social. La base de datos NUMIDENT existe porque el gobierno impone la participación. Cuando la base de datos del sistema obligatorio se copia a un servidor no autorizado con una probabilidad del 35-65 por ciento de brecha catastrófica, los 300 millones de personas cuyos datos están en riesgo no tuvieron elección previa ni tienen recurso alguno.

Búsqueda con IA. Perplexity AI, una herramienta de búsqueda comercializada como respetuosa con la privacidad, presuntamente incorporó Meta Pixel, Google Ads, Google DoubleClick y la Conversions API del lado del servidor de Meta directamente en su código. Una demanda colectiva de 135 páginas presentada el 31 de marzo en el Distrito Norte de California alega que las conversaciones de los usuarios — incluidos prompts, respuestas, direcciones de correo, direcciones IP e información del dispositivo — se transmitían a Meta y Google con fines de segmentación publicitaria. El rastreo se habría producido incluso cuando los usuarios activaban el «modo Incógnito» de Perplexity, que la demanda califica de «farsa».

La Conversions API de Meta opera de servidor a servidor. Ninguna herramienta de privacidad basada en el navegador — ningún bloqueador de anuncios, ninguna protección antirrastreo, ninguna VPN — puede detectar ni impedir la transmisión. Los usuarios que tomaron todas las precauciones de privacidad disponibles fueron presuntamente rastreados mediante un mecanismo invisible para sus herramientas defensivas.

Herramientas de desarrollo. La campaña de cadena de suministro TrapDoor, observada por primera vez el 22 de mayo, plantó instrucciones ocultas dentro de archivos de configuración .cursorrules y CLAUDE.md usando caracteres Unicode de ancho cero. Esas instrucciones engañan a los asistentes de programación con IA — herramientas como Cursor y Claude Code — para que ejecuten lo que parece un «análisis de seguridad» y que en realidad recolecta credenciales, claves SSH, datos de monederos de criptomonedas y tokens de API. La campaña apuntó a desarrolladores de las comunidades de criptomonedas, DeFi e IA mediante 34 paquetes maliciosos en npm, PyPI y Crates.io.

Por separado, una versión envenenada de la extensión Nx Console de VS Code — instalada por un empleado de GitHub el 18 de mayo — condujo a la exfiltración de aproximadamente 3.800 repositorios privados internos de GitHub, incluidos componentes internos de Copilot, herramientas de CodeQL e infraestructura de seguridad. TeamPCP y LAPSUS$ publicaron los datos robados para una venta conjunta por 95.000 dólares. El ataque se originó en una credencial robada mediante el compromiso de la cadena de suministro de npm de TanStack siete días antes — una brecha recursiva de cadena de suministro a plataforma en la que cada compromiso habilitaba el siguiente.

El argumento estructural

La propiedad común a estas brechas no es una vulnerabilidad compartida, ni un atacante compartido, ni una pila tecnológica compartida. Es una arquitectura compartida: la plataforma obligatoria.

Cuando una plataforma es obligatoria — impuesta por un centro educativo, un empleador, un gobierno o la necesidad práctica del utillaje profesional —, el usuario no puede marcharse. Su permanencia en la plataforma no es una señal de confianza ni de satisfacción; es una condición para participar en la institución a la que la plataforma da servicio. La brecha no produce la consecuencia de mercado que disciplina a las plataformas voluntarias.

El resultado es una asimetría. La palanca del atacante es proporcional a la fuerza del mandato. ShinyHunters entendió que la semana de exámenes finales en 8.809 instituciones creaba una presión temporal irresistible. El DOGE entendió que el sistema de la Seguridad Social no tiene alternativa competitiva. Los proveedores de bossware entienden que los empleados no pueden rechazar la instalación. Perplexity entendió que los usuarios que buscan privacidad en una herramienta de IA no esperarían un rastreo del lado del servidor invisible para su navegador.

En cada caso, la incapacidad de los usuarios para salir es la condición previa del impacto de la brecha.

La arquitectura que no requiere permiso

La respuesta del lado del usuario al riesgo de la plataforma obligatoria es la misma que esta publicación viene documentando en todos los ámbitos de la libertad en internet: arquitecturas en las que el usuario posee las claves, el transporte no atraviesa la capa intermediaria y la brecha de la plataforma no compromete los datos del usuario porque la plataforma nunca los tuvo.

Mensajería cifrada de extremo a extremo donde el servidor solo ve texto cifrado. Sistemas de gestión del aprendizaje autoalojados donde la institución controla sus propios datos. Identidad federada con divulgación selectiva donde quien posee la credencial decide qué comparte y con quién. IA de inferencia local donde la consulta nunca sale del dispositivo del usuario. Tokens de autenticación por hardware que no pueden suplantarse mediante flujos de código de dispositivo. Agilidad criptográfica poscuántica donde la pila de protocolos evoluciona por delante de la amenaza.

Ninguna de estas herramientas requiere el permiso de una institución para desplegarse. Ninguna depende de las prácticas de seguridad de una plataforma obligatoria. Ninguna produce un depósito de datos que un atacante pueda exfiltrar en una sola brecha.

La intrusión en Canvas expuso 275 millones de registros porque Canvas albergaba 275 millones de registros en un sistema centralizado accesible a través de una única vulnerabilidad. La arquitectura que distribuye el control a los extremos — donde el estudiante posee la clave, el centro guarda lo mínimo y la plataforma nunca acumula los 3,65 terabytes que ShinyHunters encontró — no elimina el riesgo. Pero elimina la propiedad estructural que hizo posible la intrusión en Canvas a esta escala: una puerta, 275 millones de registros detrás.

Doscientos setenta y cinco millones no tuvieron elección

La plataforma obligatoria es la arquitectura de la compulsión. El estudiante usa Canvas porque la universidad lo exige. El trabajador instala la aplicación de monitorización porque el empleador lo exige. El ciudadano tiene un número de la Seguridad Social porque el gobierno lo exige. El desarrollador usa la extensión del IDE porque el flujo de trabajo lo exige.

En cada capa, el mandato crea la centralización, la centralización crea el objetivo y la brecha crea la consecuencia que ningún usuario individual puede prevenir, mitigar ni esquivar.

Doscientos setenta y cinco millones de estudiantes no tuvieron elección sobre si sus datos estarían en manos de Canvas. No tuvieron elección sobre si existía la vulnerabilidad de Free-For-Teacher. No tuvieron elección sobre si Instructure pagaba el rescate. No tienen forma de verificar si los shred logs significan algo.

La arquitectura que les daría elección no requiere el permiso de su institución. Requiere la capa de transporte que no se enruta por la plataforma obligatoria. Requiere la clave que posee el estudiante. Requiere el protocolo que no acumula 3,65 terabytes en un único depósito de datos detrás de una única vulnerabilidad.

La plataforma obligatoria es el problema. La arquitectura distribuida es la respuesta. Los 275 millones no eligieron el problema. La arquitectura les permite elegir la respuesta.


URnetwork es una red superpuesta entre pares para transporte resistente a la censura. La red superpuesta de URnetwork distribuye el control a los extremos en lugar de acumularlo en la capa de la plataforma. Los usuarios poseen sus propias claves.

https://ur.io


Referencias (16 fuentes)

Referencias

Further Discussion

Sin opción de salida

**Posición.** Doscientos setenta y cinco millones de estudiantes no tuvieron elección. Canvas es el sistema de gestión del aprendizaje que exigen 8.809 instituciones educativas de todo el mundo — universidades, distritos escolares y ministerios de educación en unos 100 países. Cuando ShinyHunters vulneró Instructure el 25 de abril de 2026 a través de una vulnerabilidad en las cuentas Free-For-Teacher y exfiltró 3,65 terabytes de datos de estudiantes, los 275 millones de personas cuyos nombres, correos, identificadores de estudiante y mensajes privados entre docente y alumno fueron robados no tuvieron elección previa sobre si usar la plataforma, ni alternativa concurrente a la que mudarse, ni mecanismo de salida con el que proteger sus datos. Esta es la propiedad estructural de la plataforma obligatoria: cuando la plataforma la impone la institución, el usuario no puede marcharse, la brecha no produce consecuencia de mercado y la palanca del atacante es proporcional a la fuerza del mandato. ShinyHunters lo entendió — cuando Instructure no quiso pagar, desfiguraron 330 portales de acceso universitarios uno a uno durante la semana de exámenes finales y viraron a la extorsión centro por centro. El mismo patrón se extiende a todas las plataformas obligatorias vulneradas este mes: las plataformas de bossware que imponen los empleadores comparten datos de los trabajadores con 145 dominios publicitarios externos, entre ellos Google, Meta y Yandex (9 de 9 analizadas, según el estudio del 21 de mayo de la Northeastern University). El DOGE copió la base de datos NUMIDENT de la Administración de la Seguridad Social, que cubre a 300 millones de estadounidenses, a un servidor de Cloudflare no autorizado — y los estadounidenses no pueden darse de baja de la Seguridad Social. La herramienta de búsqueda de Perplexity AI presuntamente incorporaba rastreadores de la Conversions API de Meta del lado del servidor, invisibles para toda herramienta de privacidad del navegador — los usuarios que eligieron el «modo Incógnito» fueron rastreados mediante un mecanismo que ningún bloqueador de anuncios puede detectar. La superficie de ataque no es el software. Es el mandato. Sin opción de salida. Sin disciplina de mercado. Palanca máxima. **Titulares candidatos.** - Sin opción de salida · 275 millones de estudiantes no tuvieron elección - La plataforma obligatoria · Cuando no puedes marcharte, no puedes defenderte - Doscientos setenta y cinco millones · La brecha en la que estabas obligado a estar - Semana de exámenes finales · La extorsión que apuntó a los estudiantes que no podían marcharse **Remate.** 275 millones de estudiantes. 8.809 instituciones. Sin opción de salida. Sin alternativa. Sin señal de mercado. La plataforma obligatoria es la superficie de ataque. El mandato es la palanca.

Shred Logs

**Posición.** Instructure pagó el rescate. ShinyHunters aportó unos "shred logs" — registros digitales que pretenden probar que los 3,65 terabytes de datos de estudiantes robados habían sido destruidos. El FBI desaconseja el pago de rescates. El consenso de la comunidad de ciberseguridad sobre los shred logs es inequívoco: los datos digitales pueden copiarse a cualquier número de sistemas en cualquier momento entre la exfiltración y la supuesta eliminación. Un shred log prueba la eliminación en una ubicación de almacenamiento concreta. No puede probar que los datos no se copiaron a otra ubicación, no se compartieron con un tercero, no se vendieron antes de pagar el rescate o no se conservaron en un sistema que el registro no cubre. Verificarlo exigiría acceso a todos los sistemas que controla el atacante, algo que el atacante no va a proporcionar. La decisión de Instructure se tomó bajo una presión extraordinaria: 275 millones de registros, la semana de exámenes finales trastocada en miles de instituciones, 330 portales de acceso universitarios desfigurados con demandas de rescate y un plazo del 12 de mayo para la publicación de los datos. El importe del rescate no se ha revelado. El precedente es la preocupación estructural: si el pago del rescate produce un desenlace satisfactorio para el operador y sus clientes institucionales, toda plataforma obligatoria de la educación, la sanidad y la administración pública se convierte en candidata al mismo manual. Vulnerar la plataforma de la que los usuarios no pueden salir. Extorsionar al operador bajo presión de tiempo. Cobrar a cambio de una promesa que no puede verificarse. Los shred logs son el recibo de una promesa construida sobre la confianza en la entidad que rompió la confianza en primer lugar. La arquitectura que haría innecesarios los shred logs es aquella en la que la plataforma nunca acumula 3,65 terabytes de datos de estudiantes detrás de una única vulnerabilidad — donde el estudiante posee la clave, el centro guarda lo mínimo y el atacante no encuentra ningún tesoro centralizado que robar. **Titulares candidatos.** - Shred logs · El recibo de una promesa que no puede verificarse - Paga o filtramos · El rescate que Instructure pagó y la prueba que no prueba nada - Tres coma sesenta y cinco terabytes · Por qué una sola puerta nunca debería guardar 275 millones de registros - La promesa · Los datos digitales pueden copiarse infinitamente **Remate.** Instructure pagó. ShinyHunters envió shred logs. Los datos digitales se copian infinitamente. El shred log prueba la eliminación en un sistema, no en todos. La arquitectura que hace innecesarios los shred logs es aquella en la que 3,65 terabytes nunca se acumulan detrás de una sola puerta.

Comics

#1Sin opción de salida
#2Shred Logs