広く利用されている教育テクノロジープラットフォームである**Canvas**を標的としたデータ恐喝攻撃が継続しており、本日、米国全土の学区や大学で授業や課題が中断されました。サイバー犯罪グループがサービスのログインページを改ざんし、約9,000の教育機関にわたる2億7,500万人の学生と教職員のデータを漏洩すると脅迫する身代金要求を表示しました。  Canvasの親会社である**Instructure**は、プラットフォームを無効にすることで改ざん攻撃に対応しました。Canvasは、数千の学校、大学、企業がコースワーク、課題、学生とのコミュニケーションを管理するために使用しています。 ### 初期侵害と身代金要求 Instructureは週初めにデータ侵害を認め、**ShinyHunters**が責任を主張し、身代金が支払われなければ数千万人の学生と教職員のデータを漏洩すると脅迫しました。当初の締め切りは5月6日でしたが、後に5月12日に延長されました。 5月6日の声明で、Instructureは、盗まれたデータには「氏名、メールアドレス、学生ID番号などの影響を受けた機関のユーザーの特定の識別情報、およびユーザー間のメッセージ」が含まれていると述べました。パスワードや財務情報などのより機密性の高いデータの侵害の証拠は見つかりませんでした。 同社は当初、インシデントは封じ込められたと主張していました。しかし、5月7日までに、ユーザーはCanvasログインページでShinyHuntersの身代金要求が表示されていると報告し、Instructureはプラットフォームをオフラインにすることを余儀なくされました。 ### 恐喝戦術と潜在的な影響 恐喝メッセージは、Instructureの行動に関わらず、影響を受けた学校に対し、データ公開を防ぐために身代金支払いを交渉するよう促しました。 調査に近い情報筋によると、一部の大学はすでにShinyHuntersに連絡を取っています。同グループは、潜在的な交渉や支払いの可能性を示唆して、Instructureをデータ漏洩ブログから削除しました。 ### Cloudskopeの批判 **Cloudskope**の創設者兼CEOである**Dipan Mann**は、Instructureがアウトエージを「計画メンテナンス」とラベル付けしたことを批判しました。Mann氏は、これがShinyHuntersによるInstructureへの少なくとも3回目の侵害であると指摘しました。彼は、2025年9月にShinyHuntersがCanvas/Instructure経由のアクセスパスを通じてペンシルバニア大学のファイルを公開したインシデントを挙げました。 Mann氏は、以前のインシデントは概念実証であり、現在の出来事は攻撃パターンのエスカレーションを表していると主張しています。 ### ShinyHuntersの常套手段 ShinyHuntersは、データ窃盗と恐喝で知られており、IT担当者を装ったボイスフィッシングやソーシャルエンジニアリングを通じてアクセスを得ることがよくあります。 先月、同グループは**ADT**を標的とし、従業員の**Okta**シングルサインオンアカウントを侵害することで、550万人の顧客の個人情報を盗みました。また、**Medtronic**、**Rockstar Games**、**McGraw Hill**、**7-Eleven**、**Carnival**に対する攻撃の責任も主張しています。 ### Mandiantの評価 **Mandiant Consulting**のCTOである**Charles Carmakal**は、ShinyHuntersが現在複数の同時侵入および恐喝キャンペーンを実行していると指摘しました。 ### Instructureの対応と将来への影響 CloudskopeのMann氏は、Instructureの顧客が同社に圧力をかけるか、静かに侵害を受け入れるかによって結果が決まると示唆しています。 **更新：** Instructureはその後、インシデントに関するアップデートを発表し、Canvasは再び稼働しており、ハッカーはFree-for-Teacherアカウントに関連する問題を悪用したと述べています。同社はこれらのアカウントを一時的に停止し、影響を受けた組織に通知しました。