O painel do Canvas piscou e depois desapareceu, substituído por uma exigência de resgate que congelou todos no meio da rolagem. Você viu os chats em grupo irem de sonolentos a incendiários em segundos. Já escrevi sobre violações antes, mas um hack durante as provas finais é um tipo de pânico próprio.
Estudantes viram seu portal de exames ser sequestrado e não conseguiram acessá-lo
O painel se tornou um bilhete de resgate — um sinal vermelho de parada para a semana de provas finais. Por volta das 16h20 da quinta-feira, 7 de maio, milhares de estudantes de instituições como a Universidade da Pensilvânia, Virginia Tech e Duke abriram o Canvas e encontraram uma mensagem do grupo hacker ShinyHunters em vez de suas aulas.
ShinyHunters reivindicou uma violação do Instructure e exigiu contato privado com um grupo que eles chamaram de TOX, ameaçando vazar nomes, e-mails, horários e números de identificação. Os atacantes postaram uma lista (rastreada em sites como ransomware.live) que sugeria que 275 milhões de usuários em mais de 9.000 escolas — todas as da Ivy League incluídas — foram afetados. Estudantes inundaram o X (anteriormente Twitter), Reddit e Discords do campus, compartilhando capturas de tela e pânico.
Como o Canvas foi hackeado?
Resposta curta: ShinyHunters diz que invadiu o Instructure; o Instructure registrou atividade anterior e o Canvas brevemente mostrou ‘manutenção programada’ enquanto a nota de resgate desaparecia. Eu sigo rastros forenses — esses ataques geralmente começam com credenciais expostas, integrações de terceiros ou um patch perdido. Uma vez que há um ponto de apoio, os atacantes se movem lateralmente e coletam dados.
Universidades e Instructure mudaram para o controle de danos
Equipes de TI do campus postaram declarações concisas e diretas enquanto os alunos se apressavam. A mensagem do Canvas sobre manutenção programada substituiu a nota de resgate à noite ou na manhã seguinte em muitos lugares, e a lista de extorsão do ShinyHunters foi removida posteriormente.
Você pode ler reportagens de jornais estudantis — o Daily Pennsylvanian, The Harvard Crimson e The Collegiate Times — mostrando o mesmo padrão: interrupção, susto, atualizações oficiais concisas e, em seguida, restauração parcial. Paralelamente, o fornecedor K–12 PowerSchool admitiu no início deste ano ter pago um resgate após uma violação, o que agora faz parte do cálculo institucional para muitas universidades.
Os dados dos alunos foram expostos na violação do Canvas?
ShinyHunters ameaçou vazar nomes, e-mails, horários e números de identificação de estudantes. Essa gama de dados não é apenas embaraçosa; é moeda para mais phishing e fraude de identidade. As escolas evitaram a divulgação completa até agora, o que levanta a questão: quanta de sua informação pessoal foi realmente exfiltrada?
Professores moveram testes, alunos exigiram alívio e administradores se prepararam
Algumas turmas remanejaram exames — testes de sexta-feira foram adiados para domingo em algumas escolas — e dezenas de threads apareceram pedindo indulgência nas notas. Já estive em reuniões de corpo docente suficientes para saber que os administradores estão equilibrando relações públicas, exposição legal e o calendário acadêmico.
Você tem poder de barganha aqui. Os alunos são a parte afetada e os prazos importam. Uma pressão breve e direta por uma curva modesta ou avaliação alternativa pode mudar os resultados, porque as instituições odeiam a imagem de reclamações em massa após uma violação.
As universidades podem ser forçadas a pagar resgate?
Legalmente, as escolas podem escolher pagar ou não, e muitas seguradoras cibernéticas e equipes jurídicas pesam essa decisão. A pressão pública, o clamor dos estudantes e o escrutínio regulatório influenciam a escolha — mas os pagamentos de resgate têm precedentes. A questão para você é se a escola priorizará a restauração rápida em detrimento da transparência e da responsabilidade a longo prazo.
O que eu observaria em seguida e o que você pode fazer agora
Espere que três linhas de investigação dominem: relatórios forenses do Instructure, notificações oficiais das escolas afetadas e dados aparecendo em fóruns de extorsão ou sites de paste. Mantenha um registro pessoal: capturas de tela das páginas afetadas, carimbos de data/hora e quaisquer e-mails de sua universidade. Congele o monitoramento de crédito se você vir menção a dados de seguridade social ou financeiros.
Defesa prática: altere senhas reutilizadas, ative a autenticação de dois fatores em contas críticas e seja hiper-cético em relação a qualquer e-mail que peça credenciais. Aponte danos concretos para o TI — prazos perdidos, exames bloqueados — e solicite uma solução por escrito. Recomendo pedir aos professores um ajuste explícito nas notas ou uma avaliação alternativa; esses são pedidos razoáveis e rastreáveis quando o serviço de uma escola falha.
ShinyHunters realizou uma encenação pública em larga escala que expôs um risco estrutural na pilha de software acadêmico. O Instructure e as equipes de TI das universidades serão auditados, os fornecedores receberão ligações, e o incidente será mais um estudo de caso em salas de reunião. Por enquanto, os alunos devem proteger suas contas, documentar os danos e pressionar por compensação nas notas, quando apropriado.
As provas finais deveriam testar o aprendizado, não o gerenciamento de crises — você vai deixar a administração tratar sua semana de exames como dano colateral?
Apoie o nosso trabalho ❤️
Se você gostou deste artigo, considere deixar uma gorjeta para nos ajudar a continuar publicando conteúdo de qualidade.
