Кібератака на Canvas: як ShinyHunters паралізували навчання в тисячах університетів світу

У четвер, коли більшість університетів США, Канади та Австралії готувалися до фінальних іспитів, система Canvas, якою користуються мільйони студентів, раптово стала недоступною. За лаштунками цієї події стояла хакерська група ShinyHunters, яка вже не вперше атакує великі корпорації. Масштаб інциденту вражає: постраждали близько дев’яти тисяч закладів освіти, а студенти залишилися без доступу до лекцій, завдань і результатів іспитів у найвідповідальніший момент семестру.

Усе почалося ще в неділю, коли на екранах з’явилися перші повідомлення від ShinyHunters. Група встановила дедлайн на четвер, 12 травня, вимагаючи викуп у біткоїнах. До четверга Canvas став недоступним для більшості користувачів. Компанія Instructure, власник платформи, лише ввечері опублікувала коротке повідомлення про те, що сервіс «доступний для більшості користувачів». Проте в п’ятницю десятки університетів усе ще фіксували повні або часткові збої.

Аналітики з компанії Emsisoft зафіксували, що атака була ретельно спланованою. Хакери використали вразливості в інфраструктурі Instructure, яку раніше вже атакували. Цього разу вони не лише вивели систему з ладу, а й погрожували оприлюднити викрадені дані студентів і викладачів.

Міссісіпський державний університет переніс усі п’ятничні іспити. Студентка-метеорологиня Обрі Палмер саме завершила есе обсягом 2900 слів, коли на екрані з’явилося повідомлення про злам. «Моя перша реакція була — мене зламали особисто, — згадує вона. — Потім я прочитала, що це Canvas». Викладач і десятки студентів у тій самій аудиторії побачили однаковий текст і не знали, чи збереглися їхні роботи.

Університет Сіднея попередив студентів, щоб ті не намагалися заходити в систему. Університет Британської Колумбії порадив негайно вийти з акаунтів. Університет Торонто підтвердив, що постраждав разом із «багатьма іншими закладами». У Каліфорнійському університеті в Лос-Анджелесі студенти не змогли здати курсові, а Чиказький університет тимчасово відключив свою сторінку Canvas після появи погроз.

Пенсільванський державний університет скасував іспити в четвер і п’ятницю, а університет штату Айдахо — усі після полудня. Північно-Західний університет надіслав студентам лише загальне повідомлення про «моніторинг ситуації» без жодних термінів відновлення.

Магістр Північно-Західного університету Жак Абу-Різк отримав погрозливе повідомлення після кліку на посилання, яке виглядало як офіційне. «Це лякаюче повідомлення, — каже він. — Я досі не знаю, які саме дані можуть оприлюднити». Багато студентів боялися не лише за оцінки, а й за особисту інформацію: адреси, номери телефонів, результати тестів.

Університети надсилали рекомендації ігнорувати підозрілі листи та чекати оновлень. Проте для тисяч студентів, які готувалися до випуску чи вступу до магістратури, кожна година затримки означала додатковий стрес і можливі фінансові втрати.

ShinyHunters уже відомі атаками на Jaguar Land Rover та інші великі компанії. Група спеціалізується на викраденні великих обсягів даних і подальшому шантажі. Цього разу вони обрали платформу, від якої залежить робота тисяч закладів одночасно. Аналітики вважають, що атака могла бути частиною ширшої кампанії, спрямованої на критичну інфраструктуру в період стрімкого розвитку штучного інтелекту.

У травні 2026 року, майже рік після інциденту, слідчі США та Австралії продовжували розслідування. За даними джерел, близьких до розслідування, хакери досі не оприлюднили викрадені дані, однак переговори про викуп тривали кілька тижнів. Деякі університети визнали, що були змушені посилити захист і перейти на резервні платформи.

У той самий день, коли сталася атака, лідер демократів у Сенаті Чак Шумер надіслав листа адміністрації Трампа з вимогою посилити захист від кіберзагроз в епоху штучного інтелекту. Міністерство внутрішньої безпеки США отримало заклик негайно допомогти штатам і місцевим органам влади.

Експерти попереджають: атаки на освітні платформи ставатимуть частішими, адже вони зачіпають одночасно велику кількість людей і містять цінні персональні дані. У 2026 році багато університетів уже запровадили двофакторну автентифікацію та регулярні аудити безпеки, однак повна захищеність досі залишається викликом.

Станом на травень 2026 року Canvas відновив роботу в усіх постраждалих закладах, проте довіра студентів до хмарних освітніх сервісів суттєво похитнулася. Деякі університети повернулися до паперових іспитів або локальних серверів. Інші інвестували мільйони доларів у нові системи захисту. Студенти, які пережили той тиждень, досі згадують його як один із найстресовіших моментів навчання.

Цей сайт використовує Akismet для зменшення спаму.Дізнайтеся, як обробляються дані ваших коментарів.