Un ciberatac doble deixa els estudiants de la UOC sense aula virtual durant hores
L'atac d'un grup de cibercriminals a Instructure, l'empresa mare de Canvas, ha deixat sense servei la plataforma, que utilitza la UOC i nombroses universitats dels Estats Units, com la de Michigan o Harvard, també afectades.
Tot i que la incidència passa uns dies després d'un primer ciberatac que Instructure va reconèixer haver patit a principis de mes en el seu web oficial, es relacionen tots dos incidents.
A Catalunya, la UOC ha quedat afectada des d'aquest dijous a la nit, amb estudiants queixant-se a les xarxes socials sobre la impossibilitat d'accedir al servei que els permet connectar-se a l'aula virtual per, entre d'altres, lliurar treballs.
Canvas proveeix uns 9.000 centres educatius de tot el món amb espais tipus campus virtual que permeten la comunicació, el seguiment de cursos en línia i lliurament de treballs acadèmics.
Restabliment progressiu del servei
Aquest divendres, la Universitat Oberta de Catalunya ha explicat a 3CatInfo que comença a recuperar el servei, tot i que encara n'ha de confirmar l'estabilitat.
L'accés a l'aula ha quedat interromput unes 14h, des de les 10h de la nit de dijous fins que s'ha iniciat la recuperació del servei cap a les 12h.
Per minimitzar les afectacions, la UOC assegura que manté l'ajornament de tots els lliuraments previstos entre dijous i dimarts, que es podran presentar "el mateix dimarts, dia 12/05".
Instructure assegurava al seu web oficial, ja divendres al migdia, que Canvas estava "disponible per a la majoria d'usuaris", tot i que seguien les queixes dels estudiants de centres d'arreu.
La UOC ha notificat la incidència al seu web i ha reconegut el problema des de les 22.00 de dijous, amb l'"enviament de correus electrònics informatius per a tots els col·lectius" amb més informació.
El ciberatac previ, desencadenant: "Pagueu o filtrem"
Aquest incident, que és el que han patit els usuaris de la UOC, és en realitat una seqüela: "s'emmarca en la incidència [...] que també ha fet que hagin quedat exposades algunes dades de la comunitat", assegura la universitat en un comunicat.
La incidència que menciona es refereix a un primer ciberatac, a principis de mes, que ha posat en perill les dades d'uns 275 milions de persones, usuàries de Canvas adscrites en els diferents centres acadèmics que l'utilitzen.
"El 29 d'abril", explica Instructure, "vam detectar activitat no autoritzada a Canvas". La resposta de l'empresa va ser revocar-ne l'accés i començar a investigar l'incident.
La primera resposta, però, no va ser suficient: "El dijous 7 vam identificar una activitat no autoritzada addicional, lligada al mateix incident".
Amb la segona "activitat no autoritzada", van començar a veure's "canvis a les pàgines que apareixien quan alguns estudiants i professors iniciaven la sessió".
Aquests canvis es feien evidents en un missatge que els hackers maliciosos van fer aparèixer als usuaris de Canvas.
En el text, reivindiquen l'atac i asseguren estar en disposició de les dades, a més d'amenaçar de publicar-les si no es rep un pagament abans del dimarts que ve:
Si cap de les escoles afectades en aquesta llista està interessada a prevenir la filtració de les seves dades [...] contacteu amb nosaltres de forma privada per negociar un acord.Teniu fins al final del dia de 12 de maigabans que tot sigui filtrat.
La resposta d'Instructure va ser "desconnectar temporalment Canvas i posar-lo en mode de manteniment per contenir l'activitat". D'aquesta manera, els usuaris van deixar de veure el missatge, però també van perdre l'accés a Canvas, i això va fer impossible seguir amb l'activitat acadèmica.
L'atac, reivindicat pel grup de ciberdelinqüents Shinyhunters, ha provocat que hagin quedat potencialment exposades dades "de caràcter identificatiu i de contacte", com el nom i l'adreça electrònica de la universitat, i "comunicacions entre usuaris". La UOC ha assegurat que, actualment, no tenen "indicis que s'hagin vist compromeses les contrasenyes ni altres tipus de dades".
La UOC diu que està coordinant la seva resposta amb l'Agència Catalana de Protecció de Dades i l'Agència de Ciberseguretat de Catalunya, mentre que el proveïdor, Instructure, ha contractat una empresa forense externa perquè doni suport en la investigació i ho ha notificat a les autoritats pertinents, com l'FBI o l'Agència de Ciberseguretat dels EUA.
