W skrócie. Atak na popularną platformę edukacyjną Canvas pokazuje, jak krytyczna jest ochrona systemów SSO i transparentna komunikacja w kryzysie. Dane milionów studentów, w tym potencjalnie z Polski, mogły zostać skradzione i mogą być użyte do dalszych, wysoce spersonalizowanych ataków phishingowych.

TL;DR

  • Co się stało: Grupa cyberprzestępcza ShinyHunters przeprowadziła atak wymuszenia danych na platformie e-learningowej Canvas 1.
  • Skala: Atakujący zagrozili wyciekiem danych należących do 275 milionów studentów i wykładowców z prawie 9 000 instytucji edukacyjnych 2.
  • Wektor: Strona logowania Canvas została podmieniona (defacement) i wyświetlała żądanie okupu . Wcześniejsze ataki grupy sugerują wykorzystanie phishingu głosowego i kompromitacji kont SSO .
  • Skradzione dane: Potwierdzono kradzież imion, adresów e-mail, numerów identyfikacyjnych studentów oraz treści wiadomości między użytkownikami 3. Nie ma dowodów na wyciek haseł czy danych finansowych 4.
  • Reakcja: Dostawca, firma Instructure, najpierw potwierdził naruszenie 5, a po eskalacji ataku tymczasowo wyłączył platformę, komunikując to jako „planowaną konserwację” .

Wektor ataku

Zaobserwowaliśmy wieloetapowy atak na firmę Instructure, dostawcę popularnej na świecie platformy edukacyjnej Canvas. Incydent, za który odpowiedzialność wzięła grupa ShinyHunters 5, doprowadził do poważnych zakłóceń w funkcjonowaniu szkół i uniwersytetów, głównie w Stanach Zjednoczonych 1.

Chronologia zdarzeń wskazuje na eskalację działań grupy. Pierwsze sygnały o naruszeniu pojawiły się już 1 maja . W odpowiedzi, 6 maja, firma Instructure opublikowała oświadczenie, w którym przyznała się do incydentu bezpieczeństwa. Potwierdzono wtedy, że skradzione informacje obejmują „pewne dane identyfikacyjne użytkowników w dotkniętych instytucjach, takie jak imiona, adresy e-mail i numery identyfikacyjne studentów, a także wiadomości między użytkownikami” 3. Jednocześnie uspokajano, że nie znaleziono dowodów na kompromitację bardziej wrażliwych danych, jak hasła, daty urodzenia czy informacje finansowe 4. W tym samym dniu firma twierdziła, że platforma jest w pełni operacyjna i nie obserwuje nieautoryzowanej aktywności 6.

Sytuacja diametralnie zmieniła się dzień później, 7 maja. Użytkownicy z dziesiątek instytucji edukacyjnych zaczęli masowo zgłaszać w mediach społecznościowych, że standardowa strona logowania do systemu Canvas została zastąpiona komunikatem od ShinyHunters . Wiadomość zawierała bezpośrednie żądanie okupu i groźbę publikacji danych 2. Tekst komunikatu brzmiał: „ShinyHunters ponownie naruszyło Instructure” . Co ciekawe, atakujący doradzali poszczególnym szkołom negocjowanie własnych okupów, aby zapobiec publikacji ich danych .

Reakcją Instructure na ten publiczny pokaz siły było całkowite wyłączenie platformy 7. Użytkowników witał komunikat o „planowanej konserwacji” , co spotkało się z krytyką ekspertów za brak transparentności w komunikacji kryzysowej .

Chociaż dokładny wektor pierwotnego włamania nie został publicznie potwierdzony, techniki stosowane przez ShinyHunters są dobrze udokumentowane. Grupa specjalizuje się w phishingu głosowym (tzw. vishing) i atakach socjotechnicznych, często podszywając się pod personel IT w celu wyłudzenia poświadczeń dostępowych . W niedawnym ataku na firmę ADT, grupa skompromitowała konto pracownika w systemie SSO (Single Sign-On — mechanizm jednokrotnego logowania) Okta, uzyskując w ten sposób dostęp do danych klientów . Jest wysoce prawdopodobne, że podobny scenariusz mógł zostać zrealizowany w przypadku Instructure.

Wskaźniki kompromitacji

Na chwilę obecną nie udostępniono publicznie technicznych wskaźników kompromitacji (IoC — Indicators of Compromise), takich jak hashe plików, adresy IP serwerów C2 (Command and Control) czy złośliwe domeny. Zamiast tego, zespoły bezpieczeństwa powinny skupić się na wskaźnikach behawioralnych i kontekstowych:

  • Defacement strony logowania: Każda nieoczekiwana zmiana na oficjalnych stronach logowania usług jest krytycznym sygnałem alarmowym.
  • Nietypowa komunikacja od dostawcy: Komunikat o „planowanej konserwacji” pojawiający się nagle w godzinach szczytu, zwłaszcza w kontekście wcześniejszych doniesień o naruszeniu, jest poważną czerwoną flagą .
  • Wzmożona aktywność phishingowa: Po wycieku danych 3, należy spodziewać się kampanii phishingowych wymierzonych w studentów i pracowników. Ataki te mogą być bardzo przekonujące, ponieważ będą wykorzystywać prawdziwe imiona, nazwiska, adresy e-mail i numery ID.
  • Anomalie w logach SSO: Administratorzy powinni poszukiwać nietypowych logowań do systemów zintegrowanych z Canvas, zwłaszcza z nietypowych lokalizacji geograficznych lub urządzeń.

Co zrobić w 24-48h

Incydent ma globalny zasięg i chociaż pakiet badawczy skupia się na USA, polskie uczelnie i firmy korzystające z oprogramowania jako usługi (SaaS) powinny potraktować go jako studium przypadku i sygnał ostrzegawczy.

Dla administratorów IT polskich uczelni i firm

  1. Weryfikacja i kontakt: Natychmiast sprawdź, czy Twoja instytucja korzysta z platformy Canvas lub innych usług firmy Instructure. Jeśli tak, nawiąż bezpośredni kontakt z dostawcą w celu uzyskania szczegółowych informacji o skali naruszenia w waszym kontekście.
  2. Audyt logów dostępowych: Priorytetowo przejrzyj logi systemów SSO (np. Azure AD, Okta, lokalne ADFS), szukając anomalii w logowaniach z ostatnich tygodni. Zwróć szczególną uwagę na logowania z nietypowych lokalizacji, próby logowania na konta serwisowe i administracyjne oraz resetowanie haseł MFA.
  3. Komunikacja wewnętrzna: Przygotuj i roześlij komunikat do studentów, wykładowców i pracowników, ostrzegający przed spodziewaną falą phishingu. Wyjaśnij, jakie dane wyciekły 3 i jak mogą zostać użyte do manipulacji.
  4. Wzmocnienie monitoringu: Zwiększ czujność systemów EDR (Endpoint Detection and Response) i SIEM na techniki socjotechniczne i próby przejęcia sesji.

Dla studentów i wykładowców

  1. Bezwzględna nieufność: Traktuj każdą nieoczekiwaną wiadomość e-mail, SMS czy telefon z prośbą o dane lub kliknięcie w link jako potencjalną próbę ataku. Atakujący dysponują Twoim imieniem, e-mailem i numerem ID studenta 3, co czyni ich wiadomości bardzo wiarygodnymi.
  2. Weryfikacja nadawcy: Nie ufaj samej nazwie wyświetlanej nadawcy. Zawsze sprawdzaj pełny adres e-mail. W razie wątpliwości skontaktuj się z rzekomym nadawcą innym kanałem (np. telefonicznie, używając numeru z oficjalnej strony internetowej).
  3. Ochrona haseł i 2FA: Nigdy nie podawaj swojego hasła ani kodów jednorazowych (TOTP) w odpowiedzi na prośbę w e-mailu lub przez telefon. Pamiętaj, że pracownicy IT nigdy o to nie proszą.

Dla zarządów i Inspektorów Ochrony Danych (ODO)

  1. Ocena ryzyka wg RODO: Naruszenie dotyczy danych osobowych, co implikuje obowiązki wynikające z RODO. Należy przeprowadzić analizę ryzyka dla praw i wolności osób, których dane dotyczą.
  2. Procedura zgłoszenia naruszenia: Jeśli Twoja instytucja została dotknięta, należy przygotować się na potencjalną konieczność zgłoszenia naruszenia ochrony danych osobowych do Prezesa Urzędu Ochrony Danych Osobowych (UODO) w ciągu 72 godzin od stwierdzenia naruszenia.

Atrybucja

Za atakiem stoi grupa ShinyHunters, określana jako płodna i płynna organizacja cyberprzestępcza specjalizująca się w kradzieży danych i wymuszeniach . Grupa jest aktywna od kilku lat i ma na koncie szereg głośnych ataków.

Ich modus operandi często opiera się na socjotechnice, a w szczególności na phishingu głosowym . Atakujący dzwonią do pracowników celu, podszywając się pod pomoc techniczną, i w ten sposób wyłudzają dane logowania lub dostęp do systemów wewnętrznych. Potwierdzono użycie tej techniki m.in. w ataku na firmę ADT .

Atak na Instructure nie jest pierwszym incydentem z udziałem tej grupy. To co najmniej trzecie naruszenie zabezpieczeń firmy w ciągu ostatnich ośmiu miesięcy . Już we wrześniu 2025 roku ShinyHunters opublikowało dane University of Pennsylvania, które zostały pozyskane częściowo poprzez wektor dostępu związany z Canvas . Po tym, jak uczelnia odmówiła zapłaty okupu w wysokości 1 miliona dolarów , grupa opublikowała 461 MB danych .

Co ciekawe, po ostatnim ataku na Canvas, wpis dotyczący Instructure oraz próbki danych zniknęły z bloga ShinyHunters . Jednocześnie pojawiły się doniesienia, że niektóre uniwersytety nawiązały kontakt z grupą w celu negocjacji okupu . Może to sugerować, że okup został zapłacony lub negocjacje są w toku, jednak na tym etapie pozostaje to w sferze spekulacji.

Źródła

Zobacz też

Przypisy

  1. Trwający atak wymuszenia danych na platformie edukacyjnej Canvas zakłócił zajęcia i kursy w szkołach i uniwersytetach w Stanach Zjednoczonych. — krebsonsecurity.com › canvas breach disrupts schools colleges nationwi… ↩ ↩2

  2. Grupa cyberprzestępcza zbezcześciła stronę logowania Canvas żądaniem okupu, grożąc wyciekiem danych 275 milionów studentów i wykładowców z prawie 9 000 instytucji edukacyjnych. — krebsonsecurity.com › canvas breach disrupts schools colleges nationwi… ↩ ↩2

  3. W oświadczeniu z 6 maja Instructure podało, że skradzione informacje obejmują “pewne dane identyfikacyjne użytkowników w dotkniętych instytucjach, takie jak imiona, adresy e-mail i numery identyfikacyjne studentów, a także wiadomości między użytkownikami”. — krebsonsecurity.com › canvas breach disrupts schools colleges nationwi… ↩ ↩2 ↩3 ↩4 ↩5

  4. Firma Instructure stwierdziła, że nie znaleziono dowodów na to, że naruszone dane zawierały bardziej wrażliwe informacje, takie jak hasła, daty urodzenia, identyfikatory rządowe lub informacje finansowe. — krebsonsecurity.com › canvas breach disrupts schools colleges nationwi… ↩ ↩2

  5. Instructure potwierdziło naruszenie danych wcześniej w tym tygodniu, po tym jak grupa ShinyHunters wzięła odpowiedzialność i zagroziła wyciekiem danych milionów studentów i wykładowców, jeśli nie zostanie zapłacony okup. — krebsonsecurity.com › canvas breach disrupts schools colleges nationwi… ↩ ↩2

  6. Aktualizacja z 6 maja stwierdzała, że Canvas działał w pełni, a Instructure nie odnotowywało żadnej nieautoryzowanej aktywności na swojej platformie. — krebsonsecurity.com › canvas breach disrupts schools colleges nationwi… ↩

  7. Instructure, firma macierzysta Canvas, zareagowała na ataki poprzez wyłączenie platformy. — krebsonsecurity.com › canvas breach disrupts schools colleges nationwi… ↩