Canvas 侵害 ── 学習管理システムが教育セクター全体の単一障害点になった日

2026年5月7日の昼過ぎ、 アメリカ中の大学生と教員が Canvas にログインしようとして、 見慣れた画面の代わりに身代金要求文を見た。 期末試験の週だった。

事件そのものはその1週間前に始まっていた。 Instructure が Canvas への不正アクセスを検知したのは 4月29日、 公表は 5月1日（金）である。 5月7日に起きたのは、 同じ攻撃者による2度目の侵入だった。

確かなのは項目、 不確かなのは人数

この事件で最も難しいのは、 技術ではなく数字である。 報道に現れる数は桁が2つ違い、 しかも数えているものが違う。 先に整理する。

Instructure が確認したこと。 漏洩した情報は「影響を受けた機関の利用者の氏名・メールアドレス・学籍番号など、 一定の識別情報、 および利用者間のメッセージ」。 パスワード・生年月日・政府発行の識別番号・金融情報が含まれた証拠はない、 としている。 のちの説明では項目を「ユーザ名、 メールアドレス、 コース名、 履修情報、 メッセージ」と表現しており、 米教育省もこの表現を引いている。 同社は影響を受けた個人数も機関数も、 一度も公表していない。

攻撃者が主張したこと。 ShinyHunters はリークサイトに「世界で9,000校近くが影響。 学生・教員・その他職員の PII を含む2億7500万人分のデータ」と掲示した。 同じ攻撃者は別の場面で「8,809機関に紐づく2億8000万件」「2億4000万件超」とも述べており、 提供したサンプルは1万5000近い機関にまたがっていた ── 攻撃者の数字は攻撃者自身のあいだで一致していない。 窃取量は非圧縮で3.6TB 超と主張した。

別のものを数えた数字。 BleepingComputer が把握した 330 は、 5月7日に改竄された Canvas ログイン画面の数であって、 データを盗まれた機関の数ではない。 Instructure が公表している「3,000万人以上」「8,000機関超」は同社の顧客基盤の規模であり、 被害者数ではない。 この2つが引用の途中で被害規模に読み替えられる例が多い。

確度の順に並べれば、 会社が認めたデータ項目は確かで、 人数と機関数は誰も検証していない。

入口 ── Free-For-Teacher

侵入経路は Canvas の無償版 Free-For-Teacher（FFT）だった。 教員個人が、 所属機関の確認を経ずに Canvas アカウントを作れる仕組みで、 企業の管理する認証基盤の外側にある。 CEO の Steve Daly は5月8日の書簡で、 FFT 環境のサポートチケットに関する脆弱性が悪用されたと述べた。 Instructure はのちに、 攻撃者が2度とも FFT アカウントを使ったことを確認している。

BleepingComputer は、 攻撃者が複数のクロスサイトスクリプティング（XSS）の欠陥を突いたと報じた。 利用者が投稿できるコンテンツ機能に悪意ある JavaScript を注入し、 認証済みの管理者セッションを取得して特権操作を行った、 という筋である。 Instructure 自身はこの技術的詳細を公表していない。

米教育省 FSA の警告文は、 この事件を 多要素認証を欠いたアカウントが持ち込むリスク の実例として扱い、 「機関に紐づかない教員作成アカウント・無償アカウント」の棚卸しを全機関に求めた。

5月2日の「収束」と、 5月7日

時系列で最も重い部分はここである。

• 5月1日（金） ── Instructure がステータスページでインシデントを公表。
• 5月2日（土） ── 漏洩したデータ項目を公表。 セキュリティ最高責任者 Steve Proud がこの日、 収束を宣言したとされる。
• 5月6日（水） ── 影響を受けた組織への個別通知を実施。 更新には「現段階で、 インシデントは収束したと考えている」と記された。 攻撃者が当初示した支払い期限も同じ6日だったが、 12日へ延ばされた。
• 5月7日（木） ── 昼過ぎ、 Canvas のログイン画面が身代金要求文に置き換わる。 文面は「ShinyHunters が Instructure を（再び）侵害した。 我々に連絡して解決する代わりに、 彼らは無視して『セキュリティパッチ』のようなことをした」と書き、 5月12日を期限として各学校に個別交渉を促した。 改竄は約30分で取り下げられたが、 Instructure は Canvas 全体を保守モードに落とした。
• 5月8日（金） ── CEO が謝罪文を公開。 FFT を一時停止。
• 5月9日（土） ── Canvas が全面復旧。
• 5月11日（月） ── 攻撃者との「合意」を発表。

2度目の侵入について、 Instructure は「1度目のあとに導入した監視により、 開始からおよそ10分で検知・遮断した」「この2度目の攻撃で追加のデータが取得・持ち出されたことはない」と説明している。 改竄の被害は情報流出ではなく 可用性と信用 に出た。

5月11日の「合意」

先に語彙を整理しておく。 この事件でファイルは暗号化されていない。 ShinyHunters が行うのはデータ窃取による恐喝であって、 ファイルを人質に取る古典的なランサムウェアではない。 圧力の源は復旧の可否ではなく公開の脅しである。 それでも米教育省の警告文はこの集団を「ランサムウェアグループ」と呼んでおり、 公的な用語法のほうが実態に追いついていない。

Instructure の発表はこう書かれている ── データは返却された。 消去の電子的確認（shred logs）を受け取った。 いかなる Instructure の顧客も、 公にであれ非公開であれ、 この件で恐喝されることはないと通知された。 合意は影響を受けた全顧客を対象としており、 個々の顧客が攻撃者に接触する必要はない。

同社は「支払い」という語を使っていない。 ShinyHunters はリークサイトから Instructure の項目を削除した ── 通常は身代金が支払われたあとに起きることである。 金額に言及した報道もあったが、 確認されたものはない。 Krebs on Security はこの更新を、 データ消去の約束と引き換えに恐喝者へ支払ったものとして記述した。 FBI が繰り返し述べているとおり、 支払いは、 攻撃者がデータを他の犯罪者に売らないことも、 再度の恐喝がないことも保証しない。

議会と規制当局

5月11日、 米下院国土安全保障委員会の Andrew R. Garbarino 委員長が Instructure の CEO 宛に書簡を送り、 5月21日までの委員会説明を求めた。 委員長は書簡でこう書いている。

Within the span of one week, the cybercriminal group known as ShinyHunters breached Instructure twice.

さらに「初回侵害の開示から数日のうちに再度侵入されたこと、 およびその期間に根本的な脆弱性を完全には是正できなかったと見られることは、 同社のインシデント対応能力と、 データを預かる機関・個人に対する義務について深刻な疑問を投げかける」と述べた。

米教育省は5月12日に技術セキュリティ警告（GENERAL-26-27、 5月29日更新）を出し、 全機関に多要素認証の全面適用、 未使用アカウントの無効化、 4月25日から5月8日のあいだのログ精査を求めた。 学生プライバシー政策室は FERPA 遵守の観点から Instructure に情報提供を要請している。

誰でも作れる無償アカウントが信頼境界だった

CrowdStrike の障害（2024年）は、 単一ベンダーの更新が世界を止めうることを示した。 Canvas はその裏面である ── 止まらなくても、 中身が抜かれれば同じだけ壊れる。 しかも今回の入口は、 高度な攻撃技術ではなく、 本人確認なしに誰でも作れる無償アカウント という製品設計上の判断だった。 便利さのために開けてあった小さな穴が、 同じプラットフォームに載っている数千の機関すべての信頼境界になっていた。

Instructure は6月8日に Free-For-Teacher の恒久的な廃止を発表し、 旧 FFT 利用者向けの新製品を秋に出すとした。 データの詳細な内訳が各機関へ届き始めたのは7月中旬で、 メッセージ本文の解析はさらに遅れている。 教育機関にとって、 このインシデントは5月11日には終わっていない。