Il più grande disastro di privacy dei dati degli studenti della storia: il caso Canvas svela i rischi dell’EdTech centralizzato

Un attacco informatico paralizza milioni di studenti

Giovedì pomeriggio, milioni di studenti di migliaia di università e scuole statunitensi si sono ritrovati impossibilitati ad accedere a Canvas, la piattaforma di gestione dell’apprendimento (LMS) più utilizzata al mondo. Il gruppo ransomware ShinyHunters ha violato i sistemi della società madre, Instructure, rubando miliardi di messaggi e accedendo ai dati personali di oltre 275 milioni di utenti.

Dopo poche ore, Instructure è riuscita a ripristinare parzialmente il servizio, ma non è chiaro se sia stata pagata una richiesta di riscatto. L’attacco ha dimostrato i rischi di una gestione centralizzata dei dati sensibili nel settore educativo.

Canvas: il cuore digitale delle scuole e delle università

Canvas non è solo una piattaforma per la condivisione di materiali didattici. È diventato il sistema centrale per la comunicazione tra studenti e docenti, la pubblicazione di compiti, la gestione delle discussioni e persino lo svolgimento degli esami. Molte istituzioni scolastiche e universitarie dipendono esclusivamente da questo strumento per tutte le attività accademiche.

Secondo un aggiornamento ufficiale di Instructure, i dati rubati includono:

• Nomi e indirizzi email degli utenti
• Numeri di identificazione degli studenti
• Messaggi privati tra utenti della piattaforma

La società ha inoltre confermato di essere stata violata due volte: una prima volta il 29 aprile e una seconda volta giovedì, giorno dell’attacco.

Le conseguenze immediate: caos e incertezza

Subito dopo l’attacco, gli studenti hanno iniziato a condividere screenshot del messaggio di errore su Reddit e altri forum. Alcune istituzioni hanno invitato gli utenti a cambiare le password, mentre altre hanno avviato riunioni di emergenza per valutare l’impatto su esami e valutazioni finali.

«Le implicazioni sono enormi perché le scuole dipendono completamente da questo sistema per tutto: comunicazioni, valutazioni, esami finali. È un disastro senza precedenti.»

L’opinione di un esperto: «Il più grande disastro di privacy nella storia dell’istruzione»

Per comprendere meglio la portata dell’attacco, abbiamo parlato con Ian Linkletter, bibliotecario digitale specializzato in EdTech e noto per aver denunciato le vulnerabilità di piattaforme come Proctorio durante la pandemia.

Linkletter, che ha lavorato nel settore per oltre 20 anni, ha definito l’attacco a Canvas come «il più grande disastro di privacy dei dati degli studenti nella storia», citando la scala dell’operazione e la sensibilità dei dati rubati.

«Ho supportato sia Blackboard che Canvas nel corso degli anni. Quando nel 2017 l’Università della British Columbia ha adottato Canvas, abbiamo assistito a un passaggio da sistemi decentralizzati e auto-gestiti a una piattaforma centralizzata che raccoglie tutti i dati in un unico luogo. Questo rende l’intero sistema un bersaglio irresistibile per i cybercriminali.»

I rischi dell’EdTech centralizzato

L’attacco a Canvas solleva interrogativi critici sul modello di EdTech centralizzato. Concentrare tutti i dati degli studenti in un’unica piattaforma espone l’intero sistema a rischi catastrofici in caso di violazione. Nonostante i vantaggi in termini di accessibilità e integrazione, la dipendenza da un singolo fornitore rappresenta una minaccia per la sicurezza dei dati personali.

Gli esperti sottolineano la necessità di:

• Adottare soluzioni decentralizzate o ibride per ridurre i rischi
• Implementare protocolli di sicurezza più rigorosi
• Garantire trasparenza e comunicazione tempestiva in caso di violazioni

Cosa possono fare studenti e istituzioni?

Mentre Instructure lavora per rafforzare la sicurezza della piattaforma, gli utenti sono invitati a:

• Cambiare immediatamente le password
• Monitorare i propri account per attività sospette
• Segnalare eventuali anomalie alle proprie istituzioni

Le scuole e le università, dal canto loro, dovrebbero valutare l’adozione di soluzioni di backup e piani di emergenza per garantire la continuità didattica in caso di ulteriori attacchi.

Un monito per il futuro dell’istruzione digitale

L’attacco a Canvas rappresenta un campanello d’allarme per il settore dell’istruzione digitale. La centralizzazione dei dati, se da un lato semplifica la gestione, dall’altro moltiplica i rischi. Gli attacchi informatici nel settore EdTech sono in costante aumento, e questo caso dimostra quanto sia urgente ripensare i modelli di sicurezza e privacy.

Mentre il dibattito sulla protezione dei dati degli studenti si intensifica, una cosa è certa: la sicurezza informatica deve diventare una priorità assoluta per tutte le istituzioni che operano nel digitale.