Порталы Canvas взломаны бандой ShinyHunters
Известная киберпреступная группировка ShinyHunters атаковала гиганта образовательных технологий Instructure. Входные порталы системы Canvas, используемой сотнями университетов, были подвергнуты дефейсу в ходе массовой кампании по вымогательству.
Обзор инцидента
Компания Instructure, ведущее имя в секторе образовательных технологий, стала последней целью печально известной банды вымогателей ShinyHunters. В инциденте, о котором стало известно 8 мая 2026 года, ShinyHunters, как сообщается, воспользовались новой уязвимостью в системах Instructure для дефейса (изменения внешнего вида) входных порталов Системы Управления Обучением (LMS) Canvas, используемой сотнями колледжей и университетов. Эта атака — больше, чем просто утечка данных; она выделяется как действие, нацеленное на цифровые витрины учреждений и призванное оказать значительное общественное воздействие. Разместив свои собственные сообщения на взломанных страницах входа, злоумышленники объявили о начале кампании по вымогательству, направленной как на Instructure, так и на пострадавшие учебные заведения. Это не первый раз, когда ShinyHunters нацеливаются на Instructure; известно, что банда уже проводила кибератаки на компанию.
Утечка данных и масштаб
Согласно текущей информации, основной целью этой атаки была не кража данных студентов или сотрудников, а демонстрация силы путем нарушения целостности системы и создания давления для вымогательства. Наиболее заметным результатом атаки является дефейс веб-сайта. Это означает, что оригинальное содержимое веб-сайта заменяется сообщением, логотипом или пропагандой злоумышленника. В данном случае страницы входа в Canvas сотен учебных заведений были заменены сообщением, оставленным ShinyHunters. Хотя это не равносильно немедленной утечке данных, это несет серьезные риски для безопасности. Способность злоумышленника изменить внешний вид веб-сайта указывает на то, что он получил определенный уровень несанкционированного доступа к этому серверу или приложению. Этот доступ потенциально может быть использован как плацдарм для проникновения в базы данных или более глубокого проникновения в системы на последующих этапах. Масштаб атаки огромен, затронуты сотни высших учебных заведений по всему миру. Этот инцидент еще раз подчеркивает, насколько уязвимой может быть критически важная инфраструктура, используемая миллионами студентов и преподавателей.
Технический аспект атаки
Точные технические детали того, как банда ShinyHunters осуществила эту атаку, еще не подтверждены Instructure или независимыми исследователями безопасности. Однако в отчете BleepingComputer говорится, что атака была проведена с использованием "еще одной уязвимости" в инфраструктуре Instructure. В кибербезопасности "уязвимость" — это слабость в программном обеспечении или системе, которой может воспользоваться злоумышленник. Эти слабые места могут возникать из-за ошибок в кодировании, неправильных конфигураций или недостатков проектирования.
Ваш email в утечке? Проверьте бесплатно — результат за секунды.
Проверить →Злоумышленники, вероятно, следовали этим шагам:
- Разведка: Злоумышленники проанализировали код и инфраструктуру платформы Canvas в поисках потенциальных слабых мест для эксплуатации.
- Эксплуатация: Используя обнаруженную уязвимость, они получили несанкционированный доступ к системе. Обычно это делается путем отправки специально созданного фрагмента кода или команды.
- Повышение привилегий: При первоначальном доступе у них могли быть низкоуровневые разрешения. Затем они пытались повысить свои привилегии, используя другие уязвимости, чтобы получить больше контроля над системой.
- Дефейс: Получив достаточный контроль, они заменили файлы портала входа (такие как HTML, CSS и JavaScript), размещенные на веб-сервере, своими собственными подготовленными файлами.
Атака такого рода часто становится возможной благодаря обходу межсетевых экранов веб-приложений (WAF) или использованию уязвимости нулевого дня — недостатка, неизвестного поставщику программного обеспечения. Известно, что опытная группа, такая как ShinyHunters, обладает техническими возможностями для выполнения таких сложных атак.
Кто пострадал
Эта кибератака прямо или косвенно затрагивает широкую базу пользователей платформы Canvas. Основные пострадавшие группы:
- Студенты: Они могут столкнуться с перебоями в доступе к учебным материалам, заданиям, экзаменам и оценкам. Вид измененной страницы входа может вызвать панику и недоверие среди студентов.
- Преподаватели и академики: Они могут столкнуться с трудностями при выполнении основных задач, таких как управление учебным контентом, проверка заданий и общение со студентами.
- Администрации университетов и колледжей: Репутация их учреждений может серьезно пострадать. Подобный инцидент может создать впечатление, что меры кибербезопасности учреждения неадекватны.
- Instructure: Компания получила серьезный удар как в финансовом, так и в репутационном плане. Им потребуется приложить согласованные усилия для восстановления доверия клиентов и устранения пробелов в безопасности своих систем.
Что вам следует делать
Если вы студент, преподаватель или сотрудник учреждения, пострадавшего от этой атаки, вам следует сохранять спокойствие и следовать этим шагам:
- Следите за официальными каналами: Регулярно проверяйте официальный веб-сайт вашего университета или колледжа, аккаунты в социальных сетях и объявления по электронной почте.
- Смените пароль: Как только портал Canvas будет защищен и ваше учреждение посоветует это сделать, немедленно смените пароль. Убедитесь, что ваш новый пароль надежен и уникален.
- Включите двухфакторную аутентификацию (2FA): Если ваше учреждение поддерживает эту функцию, обязательно включите двухфакторную аутентификацию для своей учетной записи.
- Остерегайтесь фишинговых атак: Не доверяйте подозрительным электронным письмам, текстовым сообщениям или звонкам, которые якобы исходят от Canvas или вашего университета и запрашивают вашу личную информацию или пароль.
Заявление компании
Instructure быстро опубликовала заявление, признав инцидент после его обнаружения. Компания заявила, что ее команды безопасности работают круглосуточно, чтобы расследовать происшествие и восстановить затронутые системы. В первоначальном заявлении подчеркивалось, что атака представляла собой дефейс веб-сайта и что, по текущим данным, нет доказательств утечки каких-либо данных клиентов. Instructure заверила, что находится в тесном контакте со всеми пострадавшими учебными заведениями и обязуется поддерживать прозрачную коммуникацию на протяжении всего процесса.