Canvas運営Instructureに大規模ランサム攻撃、世界9000校・約2億7500万件のデータが流出

「Canvasって世界中の学校で使われてるシステムでしゅよね？」
「2億7500万件のデータ流出って、信じられない規模でしゅ……」

チップス

ボス！Canvasって日本の大学でも見たことありましゅ。それが世界9000校で攻撃されたとか、想像が追いつかないでしゅ……

ボス

そうだな。Instructure社のCanvasは世界最大級の学習管理システムで、そのインフラを狙ったランサム攻撃が現実になった。教育分野で記録的な規模だ。事実関係と教訓を整理していこう。

2026年5月、教育プラットフォームCanvasを運営するInstructure社が、犯罪グループShinyHuntersによる大規模ランサム攻撃を受けたと公表しました。
本記事では、確定している情報をもとに攻撃の全体像と教訓をやさしく整理していきます。

SaaS型プラットフォームを業務基盤として活用している組織にとって、本件は他人事ではありません。
攻撃の流れ、漏えいデータ、教訓となる対策ポイントの順に解説していきます。

事件の概要と攻撃の流れ

本件は単発の侵害ではなく、2段階の攻撃と恐喝交渉が組み合わさった現代型のランサム作戦です。

支援チケットの脆弱性から侵害が始まった

ShinyHuntersは、無償提供されている「Free-for-Teacher」環境のサポートチケット機能に存在した脆弱性を悪用し、Canvas基盤への初期アクセスに成功しました。
その後、5月7日には2度目の侵入が確認され、約330機関のログインポータルがランサムメッセージへ改ざんされる事態に発展しています。
事件の時系列は次の通りです。

チップス

無料機能の脆弱性から本番環境まで侵入されちゃったんでしゅか……無料だから油断しがちでしゅよね。

ボス

そうだ。本番サービスと信頼境界を共有する無料テナントは、攻撃者にとって安価な実験場になりがちだ。SaaS事業者にも利用組織にも、設計レビューが要求される事例だな。

流出データと教育現場・SaaS利用者への教訓

流出データの内訳と、本件から汲み取るべきSaaS時代のリスク設計を整理しておきます。

漏えいしたもの・しなかったもの

窃取されたデータは約2億7500万件・3.65TBで、主にユーザー名、メールアドレス、コース名、登録情報、メッセージといった内容です。
同社は、コース教材、課題提出物、認証情報は侵害されていないと強調しています。
整理すると以下の通りです。

SaaS利用組織がいま見直すべき点

SaaS事業者の侵害は利用組織側でコントロールしきれませんが、被害最小化のための備えは可能です。
セキュリティ担当者の方が押さえるべき優先項目は以下の通りです。

チップス

身代金を払って解決したって発表でしたけど、それで本当に大丈夫なんでしゅか？

ボス

正直なところ、データが完全に破棄される保証はない。だからこそ利用組織は、流出を前提とした二次被害対策、つまりフィッシング監視や認証情報のローテーションを進めておく必要があるな。

まとめ

Instructure Canvasのランサム被害は、教育分野の枠を超えて、SaaS基盤に依存する全組織への警鐘です。
セキュリティ担当者の方は、SaaS事業者選定時のセキュリティ評価と、利用組織側の二次被害対策の両面を改めて点検していきましょう。
詳細はThe Hacker Newsの報道を参照してください。