Instructureの学習管理システムCanvasへの不正アクセス
- タグ
- 国外
Instructureの学習管理システムCanvasで、犯罪的な脅威アクターによるサイバーセキュリティインシデントが起き、利用者の識別情報と利用者間のメッセージが関係した［1］。2026年5月7日には同じ脅威アクターが2つ目の脆弱性で追加のアクセスを得て、一部の学生と教員のログイン後のページを書き換えた［4］。Instructureは9月29日の更新で、データのフォレンジックの審査を終えたと説明した［4］。
経緯
Instructureのインシデントのページによると、検知した不正な活動〔注1〕は、技術や教育を含む複数の業界で大規模な攻撃を行う犯罪組織によるものだった［4］。Instructureは直ちに攻撃者のアクセスを遮断し、調査を始めて外部のフォレンジックの専門家を入れた［4］。攻撃者は両方の攻撃で、Free-For-Teacherのアカウントの1つを使っていた［4］。5月8日のCEOの書簡では、Free for Teacher環境のサポートチケットに関わる脆弱性の悪用を特定したとした［4］。
Instructureは顧客向けのFAQで、攻撃者がFree-for-Teacherのアカウントを作り、悪意のあるコードを含むサポートチケットを送ったと説明した［5］。カスタマーサービスの担当者がそのチケットを開くと、クロスサイトスクリプティング（XSS）の脆弱性が働いた［5］。攻撃者は認可トークンを得て、Canvasの中で昇格したアクセスを手にした［5］。Salesforceのインスタンスへの攻撃〔注3〕と今回の件は、どちらもShinyHuntersの脅威アクターグループによるとみられると答えた［5］。
Instructureのインシデントのページによると、同社は1回目の攻撃の後に入れた監視によって、2回目の攻撃を開始から約10分で検知して無効にした［4］。追加のデータへのアクセスや持ち出しは無かった［4］。それでもCanvasを保守モードにしたのは、攻撃の範囲と、攻撃者のアクセスが完全に閉じたことを確かめるためだった［4］。
顧客向けのFAQでInstructureは、攻撃者が1回目と似た方法でディスカッション機能の未修正のXSS脆弱性を突き、5月7日に再びアクセスを得たと説明した［5］。トークンはOAuthのフローで生成され、先の修正は回避されていた［5］。攻撃者はCanvasのカスタムテーマのCSSで身代金を求める文を掲示し、その文は約300の組織に表示された［5］。一部の顧客では攻撃者が認証プロバイダーの設定も乱し、利用者にCanvasの標準のログインページを表示させた［5］。
The Recordの5月8日の記事では、表示された文はShinyHuntersからのもので、Instructureが先週の侵害の後に身代金を交渉しなかったため「再び」侵入したと書かれていた［15］。文は、学校に5月12日までに攻撃者へ直接連絡して身代金を交渉するよう求める内容だった［15］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Instructure | Canvasで不正な活動を検知した | ［4、7］ |
| 2026年 | Instructure | APIキーに依存するツールに限定的な支障が出ている可能性をステータスページに掲載した（時刻はMDT。以下同じ） | ［2］ |
| 2026年 | Instructure | CrowdStrike Servicesに調査を依頼し、16時30分にステータスページでサイバーセキュリティインシデントを公表した | ［1、7］ |
| 2026年 | Instructure | ステータスページに調査中と掲載し、17時37分にCanvas・Canvas Beta・Canvas Testを保守モードにした | ［3］ |
| 2026年 | Instructure | Canvasが大半の利用者で利用可能になり、Canvas BetaとCanvas Testは保守中のままだった | ［3］ |
| 2026年 | Instructure | Free for Teacherを一時的に無効にした | ［4］ |
| 2026年 | Instructure | Canvasの完全な復旧を告知し、インシデントの専用ページを設けた | ［4］ |
| 2026年 | Instructure | 攻撃者との合意を告知し、16時21分にすべてのCanvas環境が利用可能になったとした | ［3、4］ |
| 2026年 | 下院国土安全保障委員会 | 委員長がInstructureのCEOに書簡を送り、委員会への説明を求めた | ［10］ |
| 2026年 | 教育省 | 連邦学生支援局（FSA）が教育機関向けのセキュリティ警告を出し、学生プライバシー政策室（SPPO）がCEOに書簡を送った | ［11、12］ |
| 2026年 | FBI | ShinyHuntersによる学習管理システム（LMS）への攻撃についての公共サービス告知を出した | ［13］ |
| 2026年 | Instructure | 持ち出されたデータ項目の暫定の調査結果をCanvasの管理者に提供した | ［5］ |
| 2026年 | Instructure | 引き渡しに選んだ第三者のプラットフォームに脅威の可能性があるとして、データの引き渡しを止めた | ［4］ |
| 2026年 | Instructure | 機関ごとのデータの引き渡しを始めた | ［5］ |
影響範囲
Instructureの会社概要のページによると、同社は2008年に設立され、2011年にCanvasの提供を始めた［20］。2019年には利用者が3,000万人に達した［20］。
| 告知 | 関係する項目 | 関係していないとした情報 | 資料 |
|---|---|---|---|
| ステータスページの5月2日の更新 | 氏名、メールアドレス、学籍番号など | パスワード、生年月日、政府発行の識別子、金融情報（この更新の段階で関係した証拠は見つかっていない） | ［1］ |
| 5月8日のCEOの書簡 | ユーザー名、メールアドレス、コース名、履修情報、メッセージなど | コースの内容、提出物、認証情報からなる中核の学習データ（侵害されていない） | ［4］ |
| 顧客向けのFAQ | - | パスワード、生年月日、医療情報、社会保障番号、金融情報、成績、懲戒記録（これらを収める項目は無い） | ［5］ |
Instructureは、ほかの製品がどちらの攻撃でも影響を受けた証拠は無いと説明した［4］。Canvasを支えるサーバーはほかのシステムと分かれており、Canvasからほかの製品への横移動も検知していない［4］。5月13日の更新では、Parchmentも影響を受けていないとした［4］。
攻撃者の主張
SecurityWeekの記事では、ShinyHuntersが5月3日にTor上の暴露サイトにInstructureを載せ、3.65TBのデータを盗んだと主張した［14］。攻撃者は、InstructureのSalesforceのインスタンスも侵害したと主張している［14］。
下院国土安全保障委員会の書簡は、ShinyHuntersが世界の約9,000機関の学生・教員・職員など約2億7,500万人の記録にアクセスしたと暴露サイトで主張したと記した［10］。書簡は、少なくとも11の州の大学と学区が障害を報告したとも書いている［10］。
AP通信は5月11日の配信で、Emsisoftのアナリストの話として、ShinyHuntersが数十億件の個人のメッセージなどにアクセスしたとネットに投稿したと報じた［16］。
The Recordは、Instructureの名が5月7日の夜にShinyHuntersの暴露サイトから消え［15］、5月11日には暴露サイトそのものが停止したと報じた［18］。
Trend Micro（TrendAI Research）の5月12日の報告では、攻撃者SHADOW-AETHER-015がCanvasの顧客のデータを公開し、同社は公開されたリストを集計した［24］。SHADOW-AETHER-015はTrend Microが付けた呼称である［24］。同社は、データに開発・UAT・ステージング環境のインスタンスが含まれることは、バックエンドのインフラへのアクセスかプラットフォームの侵害を示唆すると評価した［24］。
| 区分 | 件数 | 資料 |
|---|---|---|
| リスト全体 | 8,809件 | ［24］ |
| 米国 | 8,335機関（94.6%） | ［24］ |
| オーストラリア | 122 | ［24］ |
| 英国 | 70 | ［24］ |
| ブラジル | 29 | ［24］ |
| 高等教育機関 | 2,514 | ［24］ |
| K-12の学区 | 1,616 | ［24］ |
大学と学区の停止
The Recordは、Baylor・テキサス大学・ペンシルベニア大学・アイオワ州立・Duke・オクラホマ大学・フロリダ大学・Northwestern・Princeton・オハイオ州立などが停止を学生に告知したと報じた［15］。
AP通信は、テキサス大学サンアントニオ校などが停止を受けて金曜日の期末試験を延期したと報じた［16］。
イリノイ大学の5月7日の告知では、Canvasはサイバーセキュリティインシデントでオフラインになり、大学は再開の時期についてInstructureからの情報を待っていた［9］。自校のCanvasとCanvas Catalogには、生年月日、政府発行の識別子、金融情報は含まれない［9］。同じ日の夜、大学の幹部はリスクを評価するため自校のCanvasの再開を遅らせると決めた［9］。5月9日にはCIOとProvostの合意で再開し、Canvasと連携するアプリは当初動かないことがあるとした［9］。
Rutgers大学の情報技術室の告知によると、5月4日の段階では、ベンダー起因の全国的な事象で大学への直接の影響の通知は受けていなかった［22］。5月6日にはInstructureから、数千の機関に及ぶ広範なデータ侵害の影響を大学が受けたと通知され、どの大学のデータが関わったかは分からないとした［22］。Instructureは大学に、根本の脆弱性の修正を含む措置を取り、第三者のフォレンジック企業を起用して法執行機関に通知したと伝えた［22］。
Rutgers大学は、5月7日にInstructureのデータ侵害に関わる無許可のメッセージがCanvasに掲示されたと告知した［22］。5月8日はシステムの安全性を評価する間アクセスを止め、専門家と影響を受けた他大学の連合と協議した後、21時ごろに基本の機能へのアクセスを戻すと告知した［22］。GradeSyncなど大学固有の機能がすべて動くようになり、5月13日に告知は解決済みになった［22］。
ユタ大学の告知では、大学は5月2日にInstructureに関わる全国的なサイバーセキュリティインシデントの通知を受けた［23］。攻撃者が4月29日と5月7日にCanvasのデータベースにアクセスした際に影響を受けた、世界の9,000のK-12と高等教育機関の一つだった［23］。関わったデータは学内名簿にある氏名、メールアドレス、学籍番号などに限られるとみられ、大学のシステムは侵害されていない［23］。大学は、Canvasで予期しないポップアップやページの変化を経験した人に、予防としてパスワードの変更を求めた［23］。
対応と現状
Instructureのステータスページの5月2日の更新では、調査は続いているが、現段階でインシデントは封じ込められたと考えている［1］。
- 影響を受けたシステムに関係する特権の認証情報とアクセストークンを失効させた［1］。
- セキュリティを高めるパッチを適用した［1］。
- 悪用された証拠は無いが、念のため一部の鍵を入れ替えた［1］。
- すべてのプラットフォームで監視を強めた［1］。
Instructureは、予防の措置として一部のアプリケーションキーを5月2日に再発行し、利用者はそのツールへのアクセスを認可し直すことになった［2］。再発行したキーの名前には時刻が入る［2］。InstructureはCommunityの告知で、これらは自社が作った正規のキーで、利用者は認可の手続きを続けてよいと案内した［8］。
Canvas Data 2は5月3日に、Canvas Betaは5月4日に利用可能になった［2］。Canvas Testは5月6日に利用可能になり、ステータスページのこのインシデントは解決済みとして閉じられた［2］。
Instructureの5月6日の最終報では、Canvasは完全に稼働しており、継続する不正な活動は見られない［1］。Instructureは顧客に、特権アカウントへのMFAの強制、管理者のアクセスの見直し、APIトークンや鍵の入れ替えを勧めた［1］。影響を受けた顧客には、組織ごとの情報を個別に伝えている［1］。
侵入後の追加の措置
Instructureのインシデントのページによると、同社は不正なアクセスを遮断し、使われた脆弱性と権限昇格の経路を修正した［4］。外部のフォレンジックのパートナーは、攻撃者が現在プラットフォームにアクセスできる証拠を見つけていない［4］。Instructureは5月13日の更新で、CrowdStrikeのFalcon EDRを全社のネットワークに展開したと説明した［4］。
Instructureは顧客向けのFAQで、保守モードを解く前に、影響を受けた認証の設定を直前の安全な状態に戻したことを明らかにした［5］。認証情報が直接侵害された証拠は無いものの、全従業員のセッション、内部のアクセストークン、多くのパートナーのトークンを入れ替えた［5］。管理者のアクセスを信頼できる場所に限り、アカウントの列挙を防ぐ流量の制限を設け、APIのアクセス制御を厳しくした［5］。機関のログには、4月25日〜30日と5月7日の短時間に、Canvasのカスタマーサポート担当者のアカウントからのアクセスが残っている可能性がある〔注2〕［5］。
Instructure Communityの変更記録によると、Instructureは5月6日に、テーマエディターとCSPの管理設定を変えるときに、従業員用の昇格した認証プロバイダーでの認証を求める設定を入れた［6］。
Free-for-Teacherは停止され、恒久的に終了している［4］。Instructureは、元の利用者を念頭に置いたCanvasの製品をこの秋に出す予定だとした［4］。利用者には、5月28日の週に教材をダウンロードできる期間を設けた［4］。SecurityWeekは、Instructureが5月11日にFree-For-Teacherのアカウントの一時停止を「難しい決断」と述べたと報じた［19］。
InstructureのCEOの5月26日の書簡では、同社は可用性に関わる事象への対応を総点検しており、最高学術責任者が率いるセキュリティとレジリエンスの諮問委員会を組織している［4］。
攻撃者との合意
Instructureのインシデントのページによると、合意に基づいてデータが返還され、Instructureはデータ破棄のデジタルの確認（shred logs）を受け取った［4］。Instructureの顧客がこのインシデントで恐喝されることは無いと知らされた［4］。合意は影響を受けたすべての顧客に及び、個々の顧客が攻撃者と接触する必要は無い［4］。
Instructureは顧客向けのFAQで、データの機微性が低いとされたのになぜ身代金を払ったのかという問いに答えた［5］。サイバー犯罪者を相手にして完全な確実性は無いが、データの拡散を防ぐため自社にできる手段をすべて取ることが重要と考えたとした［5］。
The Recordの5月12日の記事では、InstructureがShinyHuntersに支払う決定を確かめる文を5月11日の夜遅くに出した［18］。
AP通信は、ShinyHuntersが学校に5月6日までに身代金を払わなければデータを流出させると脅し、その後に期限を延ばしたと報じた［17］。
当局と議会の動き
InstructureはFAQで、FBI、米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、国際的な法執行機関に通報したと説明した［5］。
下院国土安全保障委員会の委員長の書簡によると、委員会はInstructureに、5月21日までに委員会への説明の場に出るよう求め、5月14日までに日程を確かめるよう求めた［10］。説明の範囲には、2回の侵入の状況、アクセスされたデータの性質と量、封じ込めと機関への通知の措置、連邦の法執行機関とCISAとの連携が含まれていた［10］。
FSAの警告では、教育省の上級幹部がInstructureと協議しており、同社の最高情報セキュリティ責任者と連絡を取っている［11］。警告はInstructureの推奨として、Canvasの連携・LTIのツール・シングルサインオンのコネクタ・APIキーの入れ替えを挙げた［11］。システム・認証・Canvasの連携のログで、異常なアクセスの形を確かめることも推奨に含めた［11］。教育省は、すべての機関に多要素認証（MFA）の一律の導入を強く求めている［11］。
FSAは5月29日に警告を更新し、SPPOの5月12日の書簡を参照先に加えた［11］。その書簡でSPPOは、一連のインシデントは学生の教育記録への不正アクセスに至り、FERPAの違反が起きた可能性が高いと述べた［12］。Instructureが身代金の支払いに同意したと理解していることにも懸念を示した［12］。5月25日までに、インシデントの日付と概要、影響を受けたK-12と高等教育の学生数、開示された個人情報の種類、是正措置などを書面で出すよう求めた［12］。
FBIの公共サービス告知によると、障害を起こした攻撃を名乗ったShinyHuntersはサイバー犯罪グループで、LMSは完全に稼働している［13］。被害者にはShinyHuntersの名の恐喝メールが届く場合がある［13］。ShinyHuntersは被害者に圧力をかけるため、本人や家族に脅迫の電話やテキストを送ることが多く、swattingを使う場合もある［13］。
The Recordは、FBIの広報がShinyHuntersから連絡を受けても個人情報が侵害されたとは限らないと述べたと報じた［18］。
データの引き渡し
Instructureは5月9日の更新で、フォレンジックの分析にCrowdStrikeを起用し、関係したデータの網羅的なe-discoveryのために別の専門業者も入れたと説明した［4］。この審査には数週間かかる見込みとした［4］。CrowdStrikeの暫定のファクトシートでは、5月13日の段階で調査は続いており、記載の内容は暫定のものだった［7］。5月21日に暫定の結果を受け取っていない機関について、Instructureはデータが関係していないと暫定的に判断した［5］。
Instructureの7月8日の更新では、同社はCrowdStrikeとCharles River Associatesとともに詳しいフォレンジックの審査を行ってきた［4］。機関ごとのデータはShareFileのリンクでセキュリティ担当者に届け、第一波でAPIのプロビジョニングの記録と利用者のレポートを送る［4］。メッセージのデータは審査を続け、夏の後半に第二波で届ける予定だった［4］。
Instructureは7月21日の更新で、ShareFileから脅威はオンプレミスのサーバーに限られると伝えられたと説明した［4］。機関が利用者への通知を要すると判断した場合、Instructureは第三者のコンサルタントのKrollを通じて機関に代わって通知を調整する［5］。通知には、可能な場合は24か月の身元監視・保護サービスが含まれる場合がある［5］。最新の更新でInstructureは、以後の更新を影響を受けた機関に直接送るとした［4］。
未公表の事項
- Instructureによる、影響を受けた機関の数と利用者の数
- 攻撃者との合意に伴う支払いの額
- 根本原因と教訓の詳細（Instructureは5月11日の更新で、詳細を共有する意向を示した［4］）
- メッセージのデータの引き渡しを終える時期
- ShinyHuntersの名の恐喝メールなど二次被害の件数
注
出典
当事者
- ［1］Instructure, Inc.『Confirmed Security Incident』（2026年5月1日公開、2026年5月6日更新）
- ［2］Instructure, Inc.『Canvas Data 2 & Beta are available. Canvas Test Is Now Available』（2026年4月30日公開、2026年5月6日更新）
- ［3］Instructure, Inc.『Canvas is Available for Most Users. Canvas Beta and Canvas Test are also available.』（2026年5月7日公開、2026年5月11日更新）
- ［4］Instructure, Inc.『Security Incident Update & FAQs』（2026年5月8日公開、2026年9月29日更新）
- ［5］Instructure, Inc.『For Customers』（2026年5月19日公開、2026年7月27日更新）
- ［6］Instructure, Inc.『Incident Change Log for May 2026』（2026年5月8日公開、2026年7月17日更新）
- ［7］Instructure, Inc.『Instructure May 2026 Incident Fact Sheet』（2026年5月14日公開）
- ［8］Instructure, Inc.『Application Key Timestamp Notice』（2026年5月3日公開）
関係組織
- ［9］University of Illinois Urbana-Champaign『Canvas impacted by nationwide security incident』（2026年5月7日公開、2026年5月9日更新）
- ［22］Rutgers, The State University of New Jersey『Nationwide security breach involving Canvas』（2026年5月4日公開、2026年5月13日更新）
- ［23］The University of Utah『UIT responding to Canvas security incident』（2026年5月7日公開）
公的機関
- ［10］U.S. House of Representatives Committee on Homeland Security『2026.05.11-Homeland-to-Instructure-Holdings-Inc』（2026年5月11日公開、PDF）
- ［11］U.S. Department of Education『Technology Security Alert – Ongoing Cybersecurity Incident Involving the Canvas Learning Management System (Updated May 29, 2026)』（2026年5月12日公開、2026年5月29日更新）
- ［12］U.S. Department of Education『Letter to Instructure Holdings, Inc.』（2026年5月12日公開、PDF）
- ［13］Federal Bureau of Investigation『ShinyHunters: Cyber Criminal Group Attacks Learning Management System』（2026年5月15日公開）
調査・観測
- ［24］Trend Micro Incorporated『Instructure Canvas の情報漏洩とは？影響・リスクと教育機関が取るべき対応』（2026年5月12日公開）
報道機関
- ［14］Wired Business Media『Edtech Firm Instructure Discloses Data Breach Amid Hacker Leak Threats』（2026年5月4日公開）
- ［15］Recorded Future, Inc.『Multiple universities forced to reschedule final exams after Canvas cyber incident』（2026年5月8日公開）
- ［16］Wired Business Media『Canvas System Is Online After a Cyberattack Disrupted Thousands of Schools』（2026年5月11日公開、AP通信の配信）
- ［17］Wired Business Media『Deal Reached With Hackers to Delete Data Stolen From the Canvas Educational Platform』（2026年5月12日公開、AP通信の配信）
- ［18］Recorded Future, Inc.『Instructure pays ransom after Canvas incident as Congress announces investigation』（2026年5月12日公開）
- ［19］Wired Business Media『Government to Scrutinize Instructure Over Canvas Disruption, Data Breach』（2026年5月13日公開）
背景資料
- ［20］Instructure, Inc.『Company Overview』（公開日不明、2026年11月4日閲覧）
- ［21］Instructure, Inc.『Update on Security Incident』（2025年9月21日公開）
更新記録
- 2026年5月15日：公開した。
- 2026年5月19日：Instructureの顧客向けのページ（出典5）を加え、侵入の経路と5月7日の手口を「経緯」に、関係しないとした情報を「影響範囲」に、追加の措置と身代金を払った理由を「対応と現状」に加えた。
- 2026年5月26日：Instructureのインシデントのページの5月26日の更新（出典4）で示された対応の総点検と諮問委員会を「対応と現状」に加えた。
- 2026年5月29日：教育省のFSAの警告の5月29日の更新（出典11）で加わったSPPOの書簡への参照を「対応と現状」に加えた。
- 2026年6月5日：インシデントのページの6月5日の更新（出典4）で示されたFree-for-Teacherの利用者のダウンロードの期間を「対応と現状」に加えた。
- 2026年7月8日：インシデントのページの7月8日の更新（出典4）で示されたShareFileでのデータの引き渡しの方法を「対応と現状」に加えた。
- 2026年7月14日：インシデントのページの7月14日の更新（出典4）で示されたデータの引き渡しの中断を「時系列」に加えた。
- 2026年7月17日：Communityの変更記録の7月17日の更新版（出典6）から、テーマエディターの管理設定の制限を「対応と現状」に加えた。
- 2026年7月21日：インシデントのページの7月21日の更新（出典4）で示されたShareFileの説明を「対応と現状」に加えた。
- 2026年7月27日：顧客向けのページの7月27日の更新版（出典5）から、暫定の結果の提供と機関ごとのデータの引き渡しの開始を「時系列」に、Krollを通じた通知を「対応と現状」に加えた。
- 2026年9月29日：インシデントのページの9月29日の更新（出典4）で示されたフォレンジックの審査の完了をリードに、機関への直接の連絡を「対応と現状」に加えた。