W skrócie. Atak na popularną platformę edukacyjną Canvas pokazuje, jak krytyczna jest ochrona systemów SSO i transparentna komunikacja w kryzysie. Dane milionów studentów, w tym potencjalnie z Polski, mogły zostać skradzione i mogą być użyte do dalszych, wysoce spersonalizowanych ataków phishingowych.

TL;DR

  • Co się stało: Grupa cyberprzestępcza ShinyHunters przeprowadziła atak wymuszenia danych na platformie e-learningowej Canvas 1.
  • Skala: Atakujący zagrozili wyciekiem danych należących do 275 milionów studentów i wykładowców z prawie 9 000 instytucji edukacyjnych 2.
  • Wektor: Strona logowania Canvas została podmieniona (defacement) i wyświetlała żądanie okupu. Wcześniejsze ataki grupy sugerują wykorzystanie phishingu głosowego i kompromitacji kont SSO.
  • Skradzione dane: Potwierdzono kradzież imion, adresów e-mail, numerów identyfikacyjnych studentów oraz treści wiadomości między użytkownikami 3. Nie ma dowodów na wyciek haseł czy danych finansowych 4.
  • Reakcja: Dostawca, firma Instructure, najpierw potwierdził naruszenie 5, a po eskalacji ataku tymczasowo wyłączył platformę, komunikując to jako „planowaną konserwację”.

Wektor ataku

Zaobserwowaliśmy wieloetapowy atak na firmę Instructure, dostawcę popularnej na świecie platformy edukacyjnej Canvas. Incydent, za który odpowiedzialność wzięła grupa ShinyHunters 5, doprowadził do poważnych zakłóceń w funkcjonowaniu szkół i uniwersytetów, głównie w Stanach Zjednoczonych 1.

Chronologia zdarzeń wskazuje na eskalację działań grupy. Pierwsze sygnały o naruszeniu pojawiły się już 1 maja. W odpowiedzi, 6 maja, firma Instructure opublikowała oświadczenie, w którym przyznała się do incydentu bezpieczeństwa. Potwierdzono wtedy, że skradzione informacje obejmują „pewne dane identyfikacyjne użytkowników w dotkniętych instytucjach, takie jak imiona, adresy e-mail i numery identyfikacyjne studentów, a także wiadomości między użytkownikami” 3. Jednocześnie uspokajano, że nie znaleziono dowodów na kompromitację bardziej wrażliwych danych, jak hasła, daty urodzenia czy informacje finansowe 4. W tym samym dniu firma twierdziła, że platforma jest w pełni operacyjna i nie obserwuje nieautoryzowanej aktywności 6.

Sytuacja diametralnie zmieniła się dzień później, 7 maja. Użytkownicy z dziesiątek instytucji edukacyjnych zaczęli masowo zgłaszać w mediach społecznościowych, że standardowa strona logowania do systemu Canvas została zastąpiona komunikatem od ShinyHunters. Wiadomość zawierała bezpośrednie żądanie okupu i groźbę publikacji danych 2. Tekst komunikatu brzmiał: „ShinyHunters ponownie naruszyło Instructure”. Co ciekawe, atakujący doradzali poszczególnym szkołom negocjowanie własnych okupów, aby zapobiec publikacji ich danych.

Reakcją Instructure na ten publiczny pokaz siły było całkowite wyłączenie platformy 7. Użytkowników witał komunikat o „planowanej konserwacji”, co spotkało się z krytyką ekspertów za brak transparentności w komunikacji kryzysowej.

Chociaż dokładny wektor pierwotnego włamania nie został publicznie potwierdzony, techniki stosowane przez ShinyHunters są dobrze udokumentowane. Grupa specjalizuje się w phishingu głosowym (tzw. vishing) i atakach socjotechnicznych, często podszywając się pod personel IT w celu wyłudzenia poświadczeń dostępowych. W niedawnym ataku na firmę ADT, grupa skompromitowała konto pracownika w systemie SSO (Single Sign-On — mechanizm jednokrotnego logowania) Okta, uzyskując w ten sposób dostęp do danych klientów. Jest wysoce prawdopodobne, że podobny scenariusz mógł zostać zrealizowany w przypadku Instructure.

Wskaźniki kompromitacji

Na chwilę obecną nie udostępniono publicznie technicznych wskaźników kompromitacji (IoC — Indicators of Compromise), takich jak hashe plików, adresy IP serwerów C2 (Command and Control) czy złośliwe domeny. Zamiast tego, zespoły bezpieczeństwa powinny skupić się na wskaźnikach behawioralnych i kontekstowych:

  • Defacement strony logowania: Każda nieoczekiwana zmiana na oficjalnych stronach logowania usług jest krytycznym sygnałem alarmowym.
  • Nietypowa komunikacja od dostawcy: Komunikat o „planowanej konserwacji” pojawiający się nagle w godzinach szczytu, zwłaszcza w kontekście wcześniejszych doniesień o naruszeniu, jest poważną czerwoną flagą.
  • Wzmożona aktywność phishingowa: Po wycieku danych 3, należy spodziewać się kampanii phishingowych wymierzonych w studentów i pracowników. Ataki te mogą być bardzo przekonujące, ponieważ będą wykorzystywać prawdziwe imiona, nazwiska, adresy e-mail i numery ID.
  • Anomalie w logach SSO: Administratorzy powinni poszukiwać nietypowych logowań do systemów zintegrowanych z Canvas, zwłaszcza z nietypowych lokalizacji geograficznych lub urządzeń.

Co zrobić w 24-48h

Incydent ma globalny zasięg i chociaż pakiet badawczy skupia się na USA, polskie uczelnie i firmy korzystające z oprogramowania jako usługi (SaaS) powinny potraktować go jako studium przypadku i sygnał ostrzegawczy.

Dla administratorów IT polskich uczelni i firm

  1. Weryfikacja i kontakt: Natychmiast sprawdź, czy Twoja instytucja korzysta z platformy Canvas lub innych usług firmy Instructure. Jeśli tak, nawiąż bezpośredni kontakt z dostawcą w celu uzyskania szczegółowych informacji o skali naruszenia w waszym kontekście.
  2. Audyt logów dostępowych: Priorytetowo przejrzyj logi systemów SSO (np. Azure AD, Okta, lokalne ADFS), szukając anomalii w logowaniach z ostatnich tygodni. Zwróć szczególną uwagę na logowania z nietypowych lokalizacji, próby logowania na konta serwisowe i administracyjne oraz resetowanie haseł MFA.
  3. Komunikacja wewnętrzna: Przygotuj i roześlij komunikat do studentów, wykładowców i pracowników, ostrzegający przed spodziewaną falą phishingu. Wyjaśnij, jakie dane wyciekły 3 i jak mogą zostać użyte do manipulacji.
  4. Wzmocnienie monitoringu: Zwiększ czujność systemów EDR (Endpoint Detection and Response) i SIEM na techniki socjotechniczne i próby przejęcia sesji.

Dla studentów i wykładowców

  1. Bezwzględna nieufność: Traktuj każdą nieoczekiwaną wiadomość e-mail, SMS czy telefon z prośbą o dane lub kliknięcie w link jako potencjalną próbę ataku. Atakujący dysponują Twoim imieniem, e-mailem i numerem ID studenta 3, co czyni ich wiadomości bardzo wiarygodnymi.
  2. Weryfikacja nadawcy: Nie ufaj samej nazwie wyświetlanej nadawcy. Zawsze sprawdzaj pełny adres e-mail. W razie wątpliwości skontaktuj się z rzekomym nadawcą innym kanałem (np. telefonicznie, używając numeru z oficjalnej strony internetowej).
  3. Ochrona haseł i 2FA: Nigdy nie podawaj swojego hasła ani kodów jednorazowych (TOTP) w odpowiedzi na prośbę w e-mailu lub przez telefon. Pamiętaj, że pracownicy IT nigdy o to nie proszą.

Dla zarządów i Inspektorów Ochrony Danych (ODO)

  1. Ocena ryzyka wg RODO: Naruszenie dotyczy danych osobowych, co implikuje obowiązki wynikające z RODO. Należy przeprowadzić analizę ryzyka dla praw i wolności osób, których dane dotyczą.
  2. Procedura zgłoszenia naruszenia: Jeśli Twoja instytucja została dotknięta, należy przygotować się na potencjalną konieczność zgłoszenia naruszenia ochrony danych osobowych do Prezesa Urzędu Ochrony Danych Osobowych (UODO) w ciągu 72 godzin od stwierdzenia naruszenia.

Atrybucja

Za atakiem stoi grupa ShinyHunters, określana jako płodna i płynna organizacja cyberprzestępcza specjalizująca się w kradzieży danych i wymuszeniach. Grupa jest aktywna od kilku lat i ma na koncie szereg głośnych ataków.

Ich modus operandi często opiera się na socjotechnice, a w szczególności na phishingu głosowym. Atakujący dzwonią do pracowników celu, podszywając się pod pomoc techniczną, i w ten sposób wyłudzają dane logowania lub dostęp do systemów wewnętrznych. Potwierdzono użycie tej techniki m.in. w ataku na firmę ADT.

Atak na Instructure nie jest pierwszym incydentem z udziałem tej grupy. To co najmniej trzecie naruszenie zabezpieczeń firmy w ciągu ostatnich ośmiu miesięcy. Już we wrześniu 2025 roku ShinyHunters opublikowało dane University of Pennsylvania, które zostały pozyskane częściowo poprzez wektor dostępu związany z Canvas. Po tym, jak uczelnia odmówiła zapłaty okupu w wysokości 1 miliona dolarów, grupa opublikowała 461 MB danych.

Co ciekawe, po ostatnim ataku na Canvas, wpis dotyczący Instructure oraz próbki danych zniknęły z bloga ShinyHunters. Jednocześnie pojawiły się doniesienia, że niektóre uniwersytety nawiązały kontakt z grupą w celu negocjacji okupu. Może to sugerować, że okup został zapłacony lub negocjacje są w toku, jednak na tym etapie pozostaje to w sferze spekulacji.

Źródła

Zobacz też

Przypisy

  1. Trwający atak wymuszenia danych na platformie edukacyjnej Canvas zakłócił zajęcia i kursy w szkołach i uniwersytetach w Stanach Zjednoczonych. — krebsonsecurity.com › canvas breach disrupts schools colleges nationwi… ↩ ↩2

  2. Grupa cyberprzestępcza zbezcześciła stronę logowania Canvas żądaniem okupu, grożąc wyciekiem danych 275 milionów studentów i wykładowców z prawie 9 000 instytucji edukacyjnych. — krebsonsecurity.com › canvas breach disrupts schools colleges nationwi… ↩ ↩2

  3. W oświadczeniu z 6 maja Instructure podało, że skradzione informacje obejmują “pewne dane identyfikacyjne użytkowników w dotkniętych instytucjach, takie jak imiona, adresy e-mail i numery identyfikacyjne studentów, a także wiadomości między użytkownikami”. — krebsonsecurity.com › canvas breach disrupts schools colleges nationwi… ↩ ↩2 ↩3 ↩4 ↩5

  4. Firma Instructure stwierdziła, że nie znaleziono dowodów na to, że naruszone dane zawierały bardziej wrażliwe informacje, takie jak hasła, daty urodzenia, identyfikatory rządowe lub informacje finansowe. — krebsonsecurity.com › canvas breach disrupts schools colleges nationwi… ↩ ↩2

  5. Instructure potwierdziło naruszenie danych wcześniej w tym tygodniu, po tym jak grupa ShinyHunters wzięła odpowiedzialność i zagroziła wyciekiem danych milionów studentów i wykładowców, jeśli nie zostanie zapłacony okup. — krebsonsecurity.com › canvas breach disrupts schools colleges nationwi… ↩ ↩2

  6. Aktualizacja z 6 maja stwierdzała, że Canvas działał w pełni, a Instructure nie odnotowywało żadnej nieautoryzowanej aktywności na swojej platformie. — krebsonsecurity.com › canvas breach disrupts schools colleges nationwi… ↩

  7. Instructure, firma macierzysta Canvas, zareagowała na ataki poprzez wyłączenie platformy. — krebsonsecurity.com › canvas breach disrupts schools colleges nationwi… ↩