Atak na platformę Canvas: 30 milionów użytkowników wstrzymuje oddech. Co wiemy o incydencie?

Pod koniec kwietnia 2026 roku grupa cyberprzestępcza ShinyHunters przeprowadziła atak na platformę edukacyjną Canvas, z której korzysta ponad 30 milionów aktywnych użytkowników na całym świecie. W wyniku włamania wykradziono dane osobowe uczniów, nauczycieli i pracowników administracyjnych, a następnie, w maju, doszło do drugiego ataku, który na kilka dni sparaliżował działanie systemu w trakcie sesji egzaminacyjnej. Choć firma Instructure, właściciel platformy, poinformowała o zawarciu porozumienia z hakerami i usunięciu danych, incydent ten stawia pytania o bezpieczeństwo danych w sektorze edukacyjnym i o to, jak użytkownicy mogą minimalizować ryzyko.

Przebieg ataku: od kradzieży danych po paraliż szkół

Jak podaje BleepingComputer, Instructure wykryło pierwsze włamanie 29 kwietnia 2026 roku. Atakujący wykorzystali podatność związaną z kontami Free-For-Teacher – darmowymi kontami dla nauczycieli. Uzyskali dostęp do systemu i wykradli dane, w tym imiona, nazwiska, adresy e-mail, numery identyfikacyjne uczniów oraz treści wiadomości wymienianych między uczniami a nauczycielami. Firma zapewniła, że nie wyciekły hasła, dane finansowe ani numery dokumentów tożsamości.

Grupa ShinyHunters, znana z wcześniejszych ataków na Ticketmaster i AT&T, przyznała się do kradzieży 280 milionów rekordów danych z 8 809 instytucji edukacyjnych na całym świecie. Według SecurityWeek hakerzy twierdzili, że przejęli 3,65 terabajta danych, w tym dane osobowe 275 milionów uczniów, nauczycieli i innych osób.

Do pierwszej fali ataków doszło tuż przed sesją egzaminacyjną. Uczelnie, takie jak University of Texas at San Antonio, musiały przełożyć egzaminy. Studenci stracili dostęp do materiałów, a nauczyciele – do ocen i prac. „Nasza klasa wpadła w panikę” – relacjonowała Elizabeth Polo, studentka University of Maryland, cytowana przez SecurityWeek. „Profesor próbował nas uspokoić, ale to był chaos”.

7 maja hakerzy przeprowadzili drugi atak. Wykorzystali luki typu cross-site scripting (XSS), aby uzyskać sesje administracyjne i zmodyfikować strony logowania Canvas. Na portalach logowania pojawiły się wiadomości od ShinyHunters z żądaniem okupu. Instructure natychmiast wyłączyło platformę, aby powstrzymać atak. Jak podaje SecurityWeek, zakłócenia dotknęły szkoły w 11 stanach USA, w tym w Kalifornii, na Florydzie i w Teksasie.

Porozumienie z hakerami: co wiemy?

12 maja Instructure ogłosiło, że osiągnęło porozumienie z ShinyHunters. Firma nie potwierdziła oficjalnie zapłacenia okupu, ale – jak zauważa BleepingComputer – grupy wymuszające rzadko zgadzają się na usunięcie danych bez jakiejś formy rekompensaty. ShinyHunters zaktualizowało swoją stronę, informując: „Dane zostały zniszczone. Szkoły nie muszą się z nami kontaktować. Sprawa została rozwiązana”.

Jednocześnie Instructure tymczasowo wyłączyło konta Free-For-Teacher, które – jak przyznała firma – zostały wykorzystane w obu atakach. „To była trudna decyzja, ale jesteśmy zobowiązani do rozwiązania problemów z tymi kontami” – przekazała firma w oświadczeniu.

Sprawą zainteresowała się amerykańska Izba Reprezentantów. Komitet ds. Bezpieczeństwa Wewnętrznego wezwał Instructure do złożenia zeznań. W liście do CEO Steve’a Daly’ego komitet stwierdził, że „powtarzające się naruszenia budzą poważne pytania o zdolność firmy do reagowania na incydenty i ochrony danych”. Instructure ma obowiązek stawić się na przesłuchanie do 21 maja 2026 roku.

Co to oznacza dla użytkowników w Polsce?

Canvas jest wykorzystywany przez wiele polskich uczelni i szkół, zwłaszcza w trybie zdalnym i hybrydowym. Choć atak dotknął głównie instytucje w USA, dane polskich użytkowników również mogły zostać naruszone, jeśli ich szkoły korzystały z tej platformy. Instructure nie opublikowało pełnej listy dotkniętych instytucji, ale skala – 9 tysięcy szkół na całym świecie – sugeruje, że problem może być globalny.

Dla polskich administratorów i użytkowników Canvas oznacza to przede wszystkim konieczność zachowania czujności. Wykradzione dane – adresy e-mail, numery identyfikacyjne, wiadomości – mogą posłużyć do ataków phishingowych. Osoby, które otrzymają podejrzane wiadomości rzekomo od Instructure lub swojej szkoły, powinny zachować ostrożność i nie klikać w linki ani nie podawać haseł.

Jak się chronić? Praktyczne kroki

Choć atak na Canvas wymknął się spod kontroli użytkowników końcowych, istnieją działania, które mogą podjąć zarówno administratorzy, jak i zwykli użytkownicy, aby zminimalizować ryzyko w przyszłości.

Dla administratorów szkół i uczelni

• Weryfikuj konta Free-For-Teacher – atak pokazał, że darmowe konta mogą być słabym punktem. Warto ograniczyć ich liczbę i regularnie audytować uprawnienia.
• Włącz wieloskładnikowe uwierzytelnianie (MFA) – nawet jeśli platforma oferuje MFA, upewnij się, że jest wdrożone dla wszystkich kont administracyjnych.
• Monitoruj logi – nietypowe logowania, zwłaszcza z nieznanych lokalizacji, mogą być pierwszym sygnałem włamania.
• Regularnie twórz kopie zapasowe – w przypadku ataku ransomware lub defacementu, szybkie przywrócenie danych z kopii może uratować semestr.

Dla uczniów i nauczycieli

• Zmień hasło do Canvas – jeśli używałeś tego samego hasła na innych stronach, zmień je natychmiast. Używaj unikalnych, silnych haseł.
• Uważaj na phishing – po wycieku danych możesz otrzymywać fałszywe wiadomości podszywające się pod szkołę lub Instructure. Nie otwieraj załączników ani nie klikaj w linki bez weryfikacji.
• Sprawdzaj komunikaty od szkoły – oficjalne informacje powinny pochodzić z zaufanych kanałów, np. bezpośrednio od dziekanatu, a nie z ogólnych mailingów.

Co dalej?

Atak na Canvas to kolejny sygnał, że sektor edukacyjny jest równie podatny na cyberzagrożenia jak korporacje czy instytucje finansowe. Skala incydentu – 30 milionów użytkowników, 9 tysięcy szkół – pokazuje, jak duże ryzyko niesie ze sobą centralizacja usług w chmurze. Komitet ds. Bezpieczeństwa Wewnętrznego USA zapowiedział dalsze śledztwo, a Instructure będzie musiało udowodnić, że wyciągnęło wnioski.

Dla polskich użytkowników najważniejsze jest teraz zachowanie czujności i stosowanie podstawowych zasad cyberhigieny. Nie ma dowodów na to, że dane zostały już wykorzystane, ale ryzyko phishingu pozostaje realne. Warto śledzić komunikaty CERT Polska oraz oficjalne informacje od swojej szkoły.

Incydent z Canvas to również przestroga dla firm i instytucji: jedno naruszenie bezpieczeństwa może sparaliżować działalność tysięcy podmiotów. Warto inwestować w zabezpieczenia, regularne audyty i plany reagowania na incydenty, zamiast czekać, aż atakujący uderzą.