Canvas ist eines der weltweit am häufigsten genutzten Learning-Management-Systeme, das von Dutzenden von Schulen, Universitäten und Unternehmen zur Erstellung und Bereitstellung von Kursinhalten verwendet wird. Die Plattform ermöglicht es Lehrern, Inhalte zu hosten, Aufgaben zu bewerten und mit Schülern zu kommunizieren. Der Angriff fand Freitagnacht statt und wurde bereits Samstag von Chief Information Security Officer Steve Proud bestätigt.
Nach Angaben von Proud gelang es den Hackern, auf Benutzerinformationen verschiedener Bildungseinrichtungen zuzugreifen. Die gestohlenen Daten enthalten Namen, E-Mail-Adressen, Schüler-Identifikationsnummern und Privatnachrichten. Allerdings betont das Unternehmen, dass keine Finanz- oder Zahlungsinformationen, Passwörter oder staatliche Dokumente erbeutet wurden. Infrastructure ergriff unmittelbar Containment-Maßnahmen, einschließlich der Widerrufung privilegierter Anmeldeinformationen, Zugangstoken und der Bereitstellung von Sicherheitspatches.
Die Hackergruppe ShinyHunters beanspruchte die Attacke am Sonntagabend für sich. Die kriminelle Bande behauptet, 3,6 Terabyte an Daten von über 9.000 Schulen gestohlen zu haben. Infrastructure hat sich zu diesen Behauptungen bislang nicht geäußert. Dies ist bereits der zweite Angriff auf das Unternehmen – im September führte ShinyHunters einen ähnlichen Angriff durch.
Die Gruppe hat sich in den letzten zwei Jahren auf Data-Storage-Plattformen spezialisiert und zahlreiche hochkarätige Institutionen erpresst. Neben Infrastructure waren in den letzten Wochen auch die Sicherheitsfirma ADT, der Schulbuchverlag McGraw Hill und der Spieleentwickler Rockstar Ziele von ShinyHunters. Im Herbst attackierte die Gruppe bereits renommierte Universitäten wie Harvard und die University of Pennsylvania.
Dieser Vorfall reiht sich in eine besorgniserregende Serie von Angriffen auf Bildungsunternehmen ein. Im Januar 2025 wurde der Schulverwaltungssoftware-Anbieter PowerSchool ebenfalls gehackt, wodurch Daten von 62 Millionen Schülern und 9,5 Millionen Lehrern kompromittiert wurden – inklusive sensibler Informationen über Schüler mit Behinderungen, psychische Gesundheitsprobleme und Disziplinarmaßnahmen. PowerSchool muss sich nun mehreren Klagen stellen und einigte sich im Februar auf einen Vergleich in Höhe von 17,25 Millionen Dollar.