Atak na platformę Canvas. Co oznacza dla szkół i uczelni w Polsce?

W maju 2026 roku grupa cyberprzestępcza ShinyHunters przeprowadziła zmasowany atak na platformę edukacyjną Canvas, należącą do firmy Instructure. Napastnicy nie tylko wykradli dane, ale także na kilkanaście godzin sparaliżowali działanie systemu, wyświetlając na stronie logowania żądanie okupu. Według informacji opublikowanych przez Instructure, incydent dotknął tysiące instytucji na całym świecie, a skala potencjalnego wycieku – zgodnie z groźbą ShinyHunters – może objąć dane 275 milionów uczniów, studentów i pracowników. Choć atak skierowany był głównie w instytucje amerykańskie, jego skutki mogą odczuć także polskie szkoły i uczelnie korzystające z Canvas. W artykule wyjaśniamy, co się stało, jakie dane mogły wyciec i jak bezpiecznie reagować.

Co się stało? Przebieg ataku na Canvas

Atak na Canvas nie był nagłym, pojedynczym incydentem. Jak wynika z analizy KrebsOnSecurity, ShinyHunters po raz pierwszy włamał się do systemów Instructure już we wrześniu 2025 roku, wykorzystując dostęp przez Canvas do kradzieży danych Uniwersytetu Pensylwanii. Wtedy incydent potraktowano jako problem jednej uczelni. Jednak w maju 2026 roku grupa uderzyła ponownie, tym razem na znacznie większą skalę.

1 maja 2026 roku ShinyHunters poinformowało o włamaniu. Instructure odpowiedziało, wdrażając „poprawki bezpieczeństwa” i 2 maja ogłosiło, że incydent został opanowany. Niemniej 7 maja, w środku sesji egzaminacyjnej na wielu uczelniach, napastnicy ponownie uzyskali dostęp i zastąpili stronę logowania Canvas żądaniem okupu. Instructure zostało zmuszone do wyłączenia platformy, tłumacząc to „planowaną konserwacją”.

Firma przyznała, że atakujący wykorzystali lukę związaną z kontami Free-for-Teacher (darmowymi kontami dla nauczycieli). Po incydencie Instructure tymczasowo wyłączyło ten typ kont. „To ten sam problem, który doprowadził do nieautoryzowanego dostępu w poprzednim tygodniu” – zaznaczono w komunikacie.

Jakie dane wyciekły? Co mówi Instructure, a co grozi ShinyHunters

Instructure w oficjalnym oświadczeniu z 6 maja potwierdziło, że skradzione dane obejmują „pewne informacje identyfikujące użytkowników z dotkniętych instytucji, takie jak imiona, nazwiska, adresy e-mail i numery identyfikacyjne studentów, a także wiadomości między użytkownikami”. Firma zapewniła, że nie znalazła dowodów na wyciek haseł, dat urodzenia, numerów PESEL ani danych finansowych.

Z kolei ShinyHunters na swojej stronie w darknecie groziło publikacją danych 275 milionów użytkowników, w tym miliardów prywatnych wiadomości między uczniami a nauczycielami. Grupa twierdziła również, że posiada numery telefonów. Wiarygodność tych gróźb jest trudna do zweryfikowania, ale historia ShinyHunters – grupy odpowiedzialnej m.in. za wyciek danych 5,5 miliona klientów ADT – wskazuje, że nie są to puste słowa.

Po ataku z 7 maja ShinyHunters usunęło Instructure ze swojej listy ofiar na stronie z wyciekami. Jak zauważa KrebsOnSecurity, takie działanie często oznacza, że doszło do zapłaty okupu lub rozpoczęcia negocjacji. Niezależne źródła potwierdziły, że kilka uniwersytetów już skontaktowało się z grupą w sprawie okupu.

Kogo dotyczy atak? Czy polskie instytucje są zagrożone?

Canvas to jedna z najpopularniejszych na świecie platform do zarządzania nauczaniem (LMS). Korzystają z niej tysiące szkół, uczelni i firm w ponad 100 krajach. W Polsce Canvas jest używany przez wiele uczelni wyższych, w tym Uniwersytet Warszawski, Politechnikę Warszawską, Uniwersytet Jagielloński i inne, często jako główne narzędzie do prowadzenia zajęć online, udostępniania materiałów i komunikacji ze studentami.

Choć Instructure twierdzi, że incydent został opanowany, a platforma działa normalnie, polskie instytucje powinny zachować czujność. Atak pokazał, że nawet po ogłoszeniu „containment” (opanowania) napastnicy byli w stanie ponownie uzyskać dostęp. Zatem dane polskich użytkowników mogły zostać skradzione, a ryzyko ich publikacji lub wykorzystania w atakach phishingowych jest realne.

Szczególnie narażone są osoby, które korzystały z Canvas do komunikacji wewnętrznej – wiadomości między studentami a wykładowcami mogą zawierać poufne informacje, oceny, a nawet dane osobowe. Ponadto adresy e-mail i numery telefonów to typowe dane wykorzystywane w kampaniach phishingowych.

Jak reagować? Praktyczne kroki dla administratorów i użytkowników

Dla administratorów systemów IT w szkołach i uczelniach najważniejsze jest sprawdzenie, czy ich instytucja została poinformowana przez Instructure o naruszeniu. Firma zobowiązała się do bezpośredniego kontaktu z dotkniętymi organizacjami. Jeśli taka informacja nie dotarła, warto skontaktować się z pomocą techniczną Canvas i poprosić o audyt bezpieczeństwa konta instytucji.

Niezależnie od tego, administratorzy powinni:

• Wymusić reset haseł wszystkim użytkownikom (studentom, wykładowcom, pracownikom) – nawet jeśli Instructure twierdzi, że hasła nie wyciekły, przezorność jest wskazana.
• Włączyć uwierzytelnianie wieloskładnikowe (MFA) dla wszystkich kont, jeśli jeszcze nie jest aktywne.
• Monitorować logi dostępu do Canvas pod kątem nietypowych prób logowania, szczególnie z adresów IP spoza kraju.
• Przeszkolić użytkowników w zakresie rozpoznawania ataków phishingowych – po wycieku adresów e-mail można spodziewać się fałszywych wiadomości podszywających się pod Instructure, banki czy inne zaufane instytucje.

Dla zwykłych użytkowników (studentów, nauczycieli) najważniejsze jest:

• Zmiana hasła do Canvas, a także do innych serwisów, jeśli używali tego samego hasła.
• Zachowanie ostrożności przy otwieraniu wiadomości e-mail i SMS – nie klikaj w linki ani nie otwieraj załączników od nieznanych nadawców, nawet jeśli wyglądają na oficjalne komunikaty.
• Sprawdzenie ustawień prywatności w Canvas – warto ograniczyć widoczność swojego profilu i wiadomości tylko do zaufanych kontaktów.

Co dalej? Kontekst i wnioski

Atak na Canvas to nie tylko incydent techniczny, ale także lekcja dla całej branży edukacyjnej. Platformy LMS stają się coraz częściej celem cyberprzestępców, ponieważ gromadzą ogromne ilości danych osobowych i są krytyczne dla funkcjonowania szkół i uczelni. Jak zauważył Dipan Mann, założyciel Cloudskope, w komentarzu dla KrebsOnSecurity: „Penn był nazwaną ofiarą. Instructure był mechanizmem. To ujęcie było wtedy błędne. Jest dramatycznie bardziej błędne w świetle wydarzeń z maja 2026 roku”.

Polskie instytucje edukacyjne nie mogą polegać wyłącznie na zapewnieniach dostawcy. Należy regularnie audytować bezpieczeństwo używanych platform, testować procedury reagowania na incydenty i mieć plan awaryjny na wypadek długotrwałej niedostępności systemu. W przypadku Canvas, atak pokazał, że nawet po ogłoszeniu „containment” ryzyko pozostaje wysokie.

W najbliższych tygodniach należy śledzić komunikaty Instructure oraz doniesienia o ewentualnych publikacjach danych przez ShinyHunters. Jeśli grupa rzeczywiście wywiąże się z groźby, polskie uczelnie mogą stanąć przed koniecznością masowego informowania studentów o wycieku i podejmowania działań naprawczych. Na razie jednak najrozsądniejszą reakcją jest przezorność i przygotowanie się na najgorszy scenariusz.