教育プラットフォーム「Canvas」で大規模データ侵害、ハッカー集団が身代金を要求

　米インストラクチャーのシステムへの不正アクセスは2026年4月29日（現地時間）に最初に検知された。その後、サイバー犯罪グループであるシャイニーハンターズが5月3日に犯行声明と身代金の要求を行った。同グループが指定した身代金の支払い期限は当初5月6日であったが、その後5月12日へと延期された。


　期限超過によるデータ公開の脅迫が続く中、5月7日には同グループによってCanvasのログイン画面が改ざんされ、身代金を要求する脅迫メッセージが表示される事態へと発展した。インストラクチャー側の発表および複数機関の調査によると、流出が確認されたデータには、ユーザーの氏名、電子メールアドレス、学生ID番号のほか、ユーザー間でやり取りされたプライベートメッセージが含まれる。一方で、パスワード、生年月日、政府発行の識別番号、財務情報への不正アクセスの証拠は見つかっていない。

　シャイニーハンターズ側の主張では、約9000の教育機関に関連するおよそ2億7500万人分のデータ、容量にして約3.65TBを窃取したとされる。この攻撃により、北米を中心とする大学や学区では、期末試験が集中する時期にシステムが利用できなくなり、オンライン授業の運用や課題提出に重大な支障が生じた。インストラクチャーは事態の収拾のため特権認証の無効化やセキュリティパッチの適用などの初動対応を講じ、外部の専門機関や法執行機関と連携して調査を進めている。

　また、同社は不正アクセスに関連して「Free-for-Teacher」アカウントを一時的に遮断する措置をとった。「Free-for-Teacher」は教師個人が教育機関を通さずに無料でCanvasを利用できるプログラム。アカウント作成時の本人確認の緩さなど、脆弱性があったとされる。窃取された情報に具体的な授業内容や個人的なメッセージが含まれていることから、実在の講義や会話を装った巧妙なフィッシング詐欺やソーシャルエンジニアリング攻撃に悪用される危険性がある。