UCAM: Incidente de seguridad en Canvas, proveedor universitario
Instructure, proveedor de la plataforma Canvas utilizada por la Universidad como Campus Virtual, ha notificado que ha sufrido un incidente de ciberseguridad que afectó a los datos asociados a nuestra cuenta institucional.
Según información proporcionada por el prestador del servicio, la Universidad es uno de los establecimientos educativos afectados por esta brecha de seguridad. Instructure se puso en contacto con la universidad el 5 de mayo y posteriormente confirmó que algunos datos relacionados con nuestra organización pueden haber sido afectados.
El incidente no afectó al buen funcionamiento del Campus Virtual, que continuó funcionando con normalidad. Sin embargo, según la información proporcionada hasta el momento, es posible que algunos datos personales de personas de nuestra comunidad universitaria hayan quedado expuestos.
Los datos potencialmente afectados serían datos de identificación y contacto, como nombre, apellido, dirección de correo electrónico institucional u otros identificadores internos asociados con el uso de Canvas. Además, la Universidad está recopilando información adicional del proveedor para confirmar el alcance del incidente.
Para la Universidad la confidencialidad y seguridad de los datos personales es una prioridad. Así, al conocerse el incidente, se activaron protocolos internos de seguridad y protección de datos y se está trabajando en coordinación con Instructure para analizar el alcance de la infracción, minimizar sus posibles efectos y reforzar las medidas de protección.
Entre las medidas adoptadas por la Universidad se encuentran:
- Activación inmediata del protocolo interno de gestión de brechas de seguridad.
- Coordinación con Instructure para obtener información específica sobre la magnitud del incidente en nuestra institución.
- Revise cuentas con privilegios administrativos, acceso, integraciones y configuraciones de seguridad asociadas con Canvas.
- Fortalecer el seguimiento para detectar posibles indicios de mal uso de la información.
- Información a colectivos potencialmente afectados, así como recomendaciones de seguridad.
- Notificación de la incidencia a la Agencia Española de Protección de Datos, de acuerdo con lo establecido en la normativa vigente.
Por su parte, Instructure indicó que había contratado una firma forense externa para apoyar la investigación, había notificado el incidente a las autoridades correspondientes, había deshabilitado las cuentas comprometidas, había revocado el acceso y los tokens asociados, había solucionado la vulnerabilidad identificada y había implementado medidas adicionales de protección y monitoreo en la plataforma.
Aunque actualmente no hay evidencia de uso indebido de datos potencialmente afectados, la Universidad recomienda a su comunidad extremar precauciones ante posibles intentos de fraude o suplantación de identidad. Especialmente:
- Mantenga las credenciales seguras y no las comparta con nadie.
- Tenga cuidado con los correos electrónicos, mensajes de texto o llamadas que solicitan contraseñas, datos personales o información académica.
- Accede a Canvas y al resto de servicios de la Universidad únicamente desde los canales oficiales de la Universidad.
- Verifique siempre el origen de los mensajes antes de hacer clic en enlaces o descargar archivos.
- Informe cualquier mensaje sospechoso a [Servicio de Atención / CAU / Soporte TIC] a través de [correo o enlace].
Para cualquier consulta relativa al tratamiento de datos personales, los interesados pueden contactar con el Delegado de Protección de Datos de la Universidad en el correo electrónico dpd@ucam.edu.
La Universidad continuará trabajando con el proveedor y sus equipos técnicos para aclarar completamente lo sucedido, adoptar las medidas necesarias y mantener informada a la comunidad universitaria sobre cualquier novedad relevante.
Lamentamos los inconvenientes que esta situación pueda ocasionar.
