Atak na platformę Canvas. Co wiadomo o wycieku danych z Instructure?

Na początku maja 2026 roku firma Instructure, właściciel jednej z najpopularniejszych na świecie platform edukacyjnych Canvas, poinformowała o cyberataku, który doprowadził do wycieku danych. Incydent wywołał szczególne zaniepokojenie w środowisku akademickim, ponieważ z Canvas korzystają tysiące szkół i uczelni na całym świecie, w tym w Polsce. Choć firma szybko opanowała sytuację, skala zdarzenia – według doniesień grupy przestępczej – może być ogromna.

Co się stało? Chronologia zdarzeń

Jak wynika z komunikatu Instructure z 30 kwietnia, cyberatak spowodował „zakłócenia w działaniu narzędzi korzystających z kluczy API”. Już następnego dnia firma potwierdziła, że za incydentem stoją cyberprzestępcy, a dochodzenie prowadzą zewnętrzni eksperci. 2 maja atak został opanowany, a klucze aplikacyjne wymieniono, co wymusiło ponowną autoryzację dostępu do narzędzi przez użytkowników. Firma cofnęła także uprzywilejowane poświadczenia i tokeny dostępowe oraz wdrożyła dodatkowe monitorowanie.

3 maja przywrócono dostęp do platformy Canvas Data 2. Tego samego dnia grupa ShinyHunters umieściła Instructure na swoim liście ofiar, twierdząc, że wykradła 3,65 terabajta danych dotyczących 275 milionów uczniów, nauczycieli i innych osób z prawie 9 tysięcy instytucji edukacyjnych na świecie. Grupa dodała, że skompromitowana została także instancja Salesforce należąca do Instructure. Firma nie potwierdziła tych liczb ani nie ujawniła, kto stoi za atakiem.

Jakie dane wyciekły?

Instructure w oficjalnym komunikacie potwierdziła, że podczas ataku przestępcy uzyskali dostęp do danych osobowych, takich jak imiona, nazwiska, adresy e-mail oraz numeracje studentów. Kompromitacji uległy także wiadomości użytkowników. Firma podkreśliła jednak: „Na ten moment nie znaleźliśmy dowodów na to, że wyciekowi uległy hasła, daty urodzenia, dane z dokumentów tożsamości ani informacje finansowe”. To ważne zastrzeżenie – sugeruje, że kluczowe zabezpieczenia, jak hasłowanie danych czy szyfrowanie numerów PESEL, mogły zadziałać.

Grupa ShinyHunters w swoim wpisie na forum hakerskim podała szerszy katalog skradzionych informacji, ale należy traktować te twierdzenia z ostrożnością – celem takich grup jest często wywarcie presji na ofiarę, a nie precyzyjne raportowanie. Instructure nie potwierdziła tych danych, a SecurityWeek informuje, że firma nie odpowiedziała na pytania o dokładną liczbę poszkodowanych.

Konsekwencje dla użytkowników Canvas

Dla polskich użytkowników platformy Canvas, czyli głównie studentów i wykładowców uczelni wyższych, incydent oznacza przede wszystkim ryzyko ataków phishingowych. Wyciek adresów e-mail i imion to gotowy materiał do tworzenia spersonalizowanych wiadomości, które mogą podszywać się pod uczelnię, Instructure lub partnerów firmy. W takich wiadomościach przestępcy mogą żądać podania haseł, kliknięcia w link prowadzący do złośliwej strony lub otwarcia załącznika.

Choć bezpośrednio zagrożone są przede wszystkim dane uwierzytelniające do samej platformy, to w dłuższej perspektywie wyciek może posłużyć do wyłudzenia bardziej wrażliwych informacji, takich jak numery dokumentów czy dane logowania do bankowości internetowej. Warto pamiętać, że studenci są często celem ataków socjotechnicznych ze względu na mniejszą świadomość zagrożeń.

Jak się chronić po wycieku danych?

Niezależnie od tego, czy korzystasz z Canvas jako student, czy jako administrator, warto podjąć kilka kroków:

• Zmień hasło do platformy Canvas – nawet jeśli firma twierdzi, że hasła nie wyciekły, zmiana hasła i włączenie uwierzytelniania dwuskładnikowego (MFA) to podstawowe zabezpieczenie.
• Uważaj na podejrzane wiadomości – nie klikaj w linki ani nie otwieraj załączników w e-mailach, które rzekomo pochodzą od Instructure lub uczelni, zwłaszcza jeśli proszą o podanie danych logowania.
• Sprawdzaj adresy URL – loguj się do Canvas wyłącznie przez oficjalną stronę swojej uczelni, a nie przez linki z wiadomości.
• Monitoruj konta – zwracaj uwagę na nietypową aktywność na swoim koncie uczelnianym, np. zmiany danych kontaktowych, których nie dokonywałeś.

Firma Instructure zapewniła, że osoby dotknięte incydentem zostaną powiadomione. Jeśli jesteś użytkownikiem Canvas i nie otrzymałeś żadnej wiadomości, prawdopodobnie twoje dane nie zostały naruszone. W razie wątpliwości skontaktuj się z administracją swojej uczelni.

Co dalej?

Sprawa wciąż się rozwija. Dochodzenie Instructure trwa, a pełna skala wycieku – w tym czy rzeczywiście dotyczy on 275 milionów osób – nie została jeszcze potwierdzona. Niezależnie od ostatecznego werdyktu, incydent przypomina, że dane edukacyjne stanowią dziś łakomy kąsek dla cyberprzestępców, a ochrona tożsamości cyfrowej nie kończy się na uczelnianej bramie. Dla polskich użytkowników najważniejsze jest teraz zachowanie zdrowego rozsądku i ostrożności wobec wiadomości podszywających się pod znane instytucje.