Infrastructure ist vor allem für Canvas bekannt, ein Lernmanagementsystem, das von zahlreichen Schulen, Universitäten und Unternehmen zur Erstellung und Bereitstellung von Kursen genutzt wird. Lehrkräfte hinterlegen darüber Inhalte, bewerten Aufgaben und verwalten ihre Kurse.
Den Angriff schilderte das Unternehmen in mehreren Schritten: Zunächst war in der Nacht zum Freitag von einem Sicherheitsvorfall durch Cyberkriminelle die Rede, am Samstag folgte die Bestätigung des konkreten Datenabflusses durch CISO Steve Proud. Betroffen sind demnach Namen, E-Mail-Adressen, Studierendenausweisnummern und Nachrichten zwischen Nutzern an einigen Bildungseinrichtungen. Finanzdaten, Passwörter oder behördliche Dokumente seien nicht entwendet worden.
Zur Eindämmung zog Infrastructure externe Fachleute hinzu. Privilegierte Zugangsdaten und Zugriffstoken wurden widerrufen, zudem wurden Patches eingespielt. Diese Gegenmaßnahmen störten teils die von Kunden genutzten Werkzeuge.
Zu dem Angriff bekannte sich am Sonntagnachmittag die Gruppe ShinyHunters. Sie gab an, 3,6 Terabyte Daten mit Informationen von mehr als 9.000 Schulen gestohlen zu haben. Infrastructure reagierte nicht auf Anfragen zu diesen Behauptungen.
Das in Utah ansässige Unternehmen war bereits zuvor ins Visier von ShinyHunters geraten, im Rahmen einer Angriffsserie im September. Die Gruppe hat in den vergangenen zwei Jahren mehrere Kampagnen gegen Datenspeicher-Plattformen geführt und damit mehrere namhafte Institutionen erpresst. Zu den jüngsten Vorfällen in diesem Monat zählen Angriffe auf das Sicherheitsunternehmen ADT, das Bildungsunternehmen McGraw Hill und den Spieleentwickler Rockstar. Im Herbst hatte die Gruppe unter anderem Harvard und die University of Pennsylvania getroffen.
Bildungsdaten werden immer wieder bei großen Drittanbietern wie Infrastructure entwendet. Im Januar 2025 machte das Bildungssoftware-Unternehmen PowerSchool einen Angriff öffentlich, bei dem sensible Daten von Schülern und Lehrkräften offengelegt wurden – darunter Angaben zum Förderbedarf, zur psychischen Gesundheit, Disziplinarvermerke und Informationen zu elterlichen Kontaktverboten. Der Angreifer erlangte Daten von 62 Millionen Schülern und 9,5 Millionen Lehrkräften.
PowerSchool sieht sich wegen der angeblich unzureichenden Sicherheitsvorkehrungen, die zu dem Vorfall führten, mehreren Klagen ausgesetzt; bemängelt wird unter anderem der Verzicht auf Mehr-Faktor-Authentifizierung. Im Februar legte das Unternehmen zumindest eine Sammelklage mit einer Zahlung von 17,25 Millionen US-Dollar bei.