Der jüngste Angriff offenbart ein beunruhigendes Muster: Während Instructure nach dem ersten Vorfall mit Sicherheitspatches reagierte, nutzten die Angreifer offenbar eine Sicherheitslücke, um erneut Zugriff auf kritische Systeme zu erlangen. Die Defacements waren etwa 30 Minuten lang sichtbar, bevor sie offline genommen wurden – ein Zeitfenster, das dennoch ausreichte, um Tausende Nutzer auf das Sicherheitsproblem hinzuweisen.
Die ShinyHunters-Botschaft richtete sich nicht nur an Instructure, sondern direkt an die betroffenen Schulen: Sie wurden aufgefordert, Cyber-Security-Berater einzuschalten und bis zum 12. Mai 2026 private Verhandlungen zu führen. Die Gruppe impliziert damit klar, dass unterschiedliche Institutionen unterschiedliche Datenmengen möglicherweise freikaufen könnten – ein klassisches Erpressungsmodell, das gezielt auf Verunsicherung abzielt.
Canvas ist eine der weltweit meistgenutzten Lernmanagementsysteme für Hochschulen und Schulen. Millionen von Studierenden und Lehrkräften verlassen sich täglich auf die Plattform für Aufgabenverwaltung, Noten und Kommunikation. Ein Sicherheitsausfalls dieser Dimension beeinträchtigt nicht nur den Schulbetrieb, sondern gefährdet auch massive Mengen sensibler Daten – insbesondere von Minderjährigen.
Die ShinyHunters-Gruppe ist seit 2018 als Hackerverband tätig und hat sich 2024 zur einer der proliferativsten Extortions-Gruppen weltweit entwickelt. Sie konzentriert sich primär auf Salesforce und Cloud-SaaS-Umgebungen, sind aber auch für Angriffe auf Google, Cisco und andere Großkonzerne verantwortlich. Die Gruppe ist bekannt für Voice-Phishing-Attacken gegen Okta, Microsoft und Google, bei denen Mitarbeiter als IT-Support-Personal getäuscht werden, um MFA-Codes preiszugeben.
Besonders bemerkenswert: ShinyHunters operiert auch als “Extortion-as-a-Service”-Gruppe, führt also Erpressungen für andere Cyberkriminelle durch. Trotz mehrerer Verhaftungen – etwa im Zusammenhang mit Snowflake-Angriffen und dem PowerSchool-Hack – setzt die Gruppe ihre Aktivitäten fort.
Instructure hat Canvas offline genommen und teilweise bestätigt, dass Daten gestohlen wurden. Die Reaktion des Unternehmens auf Anfragen von Medien und Betroffenen bleibt allerdings bislang ausständig. Dies wirft Fragen zur Transparenz und zur Compliance mit Meldepflichten auf – gerade auch für deutsche Schulen.