Instructure enfrenta una investigación de la Cámara de Representantes por brechas de datos estudiantiles

El Comité de Seguridad Nacional de la Cámara de Representantes ha iniciado una investigación sobre Instructure en relación con su respuesta a los ciberataques que expusieron los datos personales de millones de estudiantes a nivel mundial. El representante Andrew Garbarino, presidente del Comité de Seguridad Nacional de la Cámara de Representantes, encabeza la investigación sobre los hackeos y la brecha de datos. El comité, que tiene jurisdicción sobre las actividades gubernamentales relacionadas con la seguridad nacional, ha exigido que la empresa proporcione información detallada sobre los incidentes de seguridad. La Agencia de Ciberseguridad y de Infraestructura (CISA, por sus siglas en inglés), la agencia de ciberseguridad de EE. UU., está ayudando con el incidente. Instructure es el desarrollador de Canvas, un software de portal de información escolar.

Los legisladores de la Cámara de Representantes de EE. UU. están exigiendo información a Instructure sobre su respuesta a los ciberataques y buscan una sesión informativa a puerta cerrada con la dirección de Instructure en lugar de un testimonio público. La sesión informativa tiene como objetivo abordar las capacidades de respuesta a incidentes de la empresa y su coordinación con la CISA. El comité quiere que el director ejecutivo Steve Daly u otro alto ejecutivo explique cómo los hackers entraron repetidamente en los sistemas de Instructure, que desarrolla el software de portal de información escolar Canvas, y que revelen los tipos específicos de datos estudiantiles que fueron comprometidos durante las brechas.

El presidente del comité, Andrew Garbarino, citó las brechas repetidas de la empresa como evidencia de vulnerabilidades sistémicas. Garbarino declaró que la segunda brecha por parte de los mismos hackers plantea serias dudas sobre las capacidades de respuesta a incidentes de la empresa y sus obligaciones con las instituciones y los individuos cuyos datos posee. En una carta a la empresa, Garbarino escribió: “La escala y el momento de la brecha de Instructure, y la demostrada incapacidad de un importante proveedor de tecnología educativa para contener a un actor de amenazas tras una intrusión inicial, son precisamente el tipo de vulnerabilidades sistémicas que este Comité tiene la responsabilidad de examinar”.

Mientras tanto, Instructure, el fabricante de software educativo hackeado dos veces, confirmó que llegó a un acuerdo con los hackers de ShinyHunters, quienes afirmaron haber eliminado los datos robados. La investigación del Congreso se hizo pública originalmente el 13 de mayo, y la solicitud del comité se actualizó el 14 de mayo para aclarar que los legisladores buscan una sesión informativa a puerta cerrada en lugar de un testimonio público de los ejecutivos de la empresa.

Por qué importa

La investigación destaca el creciente escrutinio del Congreso sobre las capacidades de respuesta a incidentes de los principales proveedores de tecnología educativa, particularmente cuando brechas repetidas exponen los datos confidenciales de millones de usuarios.