Canvas ירדה מהאוויר אחרי שדף הכניסה הוחלף בהודעת כופר של ShinyHunters
ב-7 במאי 2026 הופיעה בדף הכניסה של Canvas הודעת סחיטה, ו-Instructure הורידה את המערכת. החברה מאשרת שנגנבו שמות, כתובות מייל והודעות.
TL;DR בקצרה
- הודעת הסחיטה, בשם ShinyHunters, הופיעה בדפי הכניסה של Canvas, לפי BleepingComputer אצל כ-330 מוסדות.
- Instructure אומרת שהתוקפים נכנסו דרך חשבון Free-for-Teacher, ושהשירות הזה הושבת.
- הנתונים שנגנבו כוללים שמות, כתובות מייל, פרטי רישום להרצאות והודעות, ולפי החברה לא סיסמאות.
- ב-11 במאי הודיעה Instructure על הסכם עם התוקפים, והבטיחה שאיש לא יסוחט בעקבותיו.
ב-7 במאי 2026 הופיעה בדף הכניסה של Canvas הודעת סחיטה, ו-Instructure הורידה את המערכת מהאוויר. Canvas היא מערכת הלמידה של אלפי בתי ספר ואוניברסיטאות. ההודעה הייתה בשם קבוצת הסחיטה ShinyHunters. כמה ימים לפני כן הודיעה החברה על חדירה ראשונה של אותו תוקף.
מה קרה ב-Canvas ב-7 במאי
לפי BleepingComputer, דפי הכניסה של כ-330 מוסדות חינוך הציגו את הודעת הסחיטה. היא הופיעה גם באפליקציה. אותו אתר מדווח שהיא נשארה על המסך כחצי שעה. Instructure מצידה מסרה שהניטור זיהה את התקיפה וסגר אותה אחרי כ-10 דקות.
ההודעה דרשה מ-Instructure ומבתי הספר ליצור קשר עם הקבוצה עד 12 במאי. אחרת יפרסמו התוקפים את נתוני התלמידים. הקבוצה המליצה לבתי הספר לנהל משא ומתן בעצמם. לדבריה, Instructure התעלמה ממנה ועשתה רק ״תיקוני אבטחה״.
Instructure העבירה את Canvas למצב תחזוקה. דף הסטטוס הציג את ההשבתה כתחזוקה מתוכננת, ומומחה אבטחה ביקר את הניסוח הזה. באותו יום חזרה Canvas לרוב המשתמשים. הסביבות Canvas Beta ו-Canvas Test חזרו רק ב-11 במאי.
איך נכנסו התוקפים ל-Canvas דרך חשבון חינמי
לפי Instructure, שתי התקיפות נעשו מחשבון Free-for-Teacher, חשבון חינמי למורים. בתקיפה השנייה ניצלו התוקפים חולשה אחרת ב-Canvas. החברה השביתה את השירות זמנית, עד לסיום בדיקת אבטחה מלאה.
מנכ״ל החברה, סטיב דיילי, מסר ב-8 במאי שהחולשה קשורה לפניות תמיכה באותה סביבה. לדבריו, הנתונים שנגנבו כוללים שמות משתמש, כתובות מייל ושמות קורסים. הם כוללים גם פרטי רישום והודעות. לטענת החברה, התוקפים לא הגיעו לתוכן הקורסים, למטלות ולסיסמאות.
Instructure מסרה גם שיש הפרדה בין השרתים של Canvas למערכות אחרות שלה. לדבריה, לא זוהתה תנועה מ-Canvas אל מוצרים אחרים. חברת CrowdStrike מסייעת לה בחקירה.
ההיקף שהקבוצה טוענת לו גדול בהרבה. לפי KrebsOnSecurity, הודעת הסחיטה מדברת על 275 מיליון תלמידים ואנשי סגל בכמעט 9,000 מוסדות. מקורות אחרים מציינים מספרים שונים, ואף אחד מהם לא אומת.
למה האירוע חשוב גם מחוץ לכיתות
ShinyHunters היא קבוצה שמתמחה בגניבת נתונים וסחיטה. לפי KrebsOnSecurity, היא נכנסת בדרך כלל דרך הנדסה חברתית בטלפון. צ׳ארלס קרמקל ממנדיאנט אמר ב-7 במאי שהקבוצה מפעילה כמה קמפיינים במקביל.
הלקח רחב. ספק אחד מחזיק נתונים של אלפי ארגונים, ולכן פריצה אחת פוגעת בכולם. גם גרסה חינמית של שירות עסקי יכולה להיות דלת כניסה. וגם מי שאינו לקוח ישיר, כמו תלמיד או הורה, עלול למצוא את הנתונים שלו בדליפה.
יש גם סיכון להונאות. הודעות ומיילים שנגנבו עלולים לאפשר פישינג משכנע, שמתייחס לפריצה עצמה. ה-FTC הזהירה מכך ב-12 במאי.
מה קרה מאז: ב-9 במאי הודיעה Instructure ש-Canvas חזרה לפעול במלואה. ב-11 במאי היא הודיעה על הסכם עם התוקפים. לדבריה, הנתונים הוחזרו אליה, התקבלו אישורי השמדה דיגיטליים, ונאמר לה שאף לקוח לא יסוחט. KrebsOnSecurity מתאר זאת כתשלום לסוחטים, ו-Instructure לא כתבה את המילה הזו.
מה זה אומר עבורכם
- היזהרו מהודעות על הפריצה: אל תלחצו על קישורים בהודעות לא צפויות. פנו למוסד שלכם דרך כתובת או טלפון שאתם מכירים.
- החליפו סיסמאות חוזרות: Instructure מסרה שסיסמאות לא נחשפו. בכל זאת, סיסמה שחוזרת בכמה שירותים כדאי להחליף.
- אל תסתמכו על רשימות ברשת: Instructure מבקשת להמתין להודעה ישירה מהחברה למוסד שנפגע.
- בארגון שלכם: מפו אילו ספקי SaaS מחזיקים נתונים שלכם. בדקו גם אילו חשבונות חינמיים או ניסיוניים פתוחים אצלם.
מקורות והרחבה
- Security incident update & FAQsInstructure
- Canvas login portals hacked in mass ShinyHunters extortion campaignBleepingComputer
- Canvas Breach Disrupts Schools & Colleges NationwideKrebsOnSecurity
- Hackers deface school login pages after claiming another Instructure hackTechCrunch
- What to Know After the Canvas CyberattackFTC
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
