Die politische Reaktion auf den Canvas-Skandal ist ungewöhnlich hart ausgefallen. Das House Committee on Homeland Security unter Vorsitz von Andrew R. Garbarino fordert Instructure-CEO Steve Daly zu einer Anhörung bis spätestens 21. Mai auf. Der zentrale Vorwurf: mangelnde Incident-Response-Fähigkeiten und unzureichende Remediationsmaßnahmen nach der ersten Kompromittierung.
Die Timeline der Vorfälle zeigt ein beunruhigendes Versagen: Am 1. Mai meldete Instructure die erste Kompromittierung und gab zu, dass Angreifer persönliche Daten von Millionen Nutzern — Namen, E-Mail-Adressen, Studentennummern und private Nachrichten — erbeutet hatten. ShinyHunters prahlt mit dem Diebstahl von über 3 Terabyte sensible Daten von mehr als 9.000 Bildungseinrichtungen. Nach kurzer Offline-Phase erklärte Instructure das System am 6. Mai für vollständig wiederhergestellt. Nur einen Tag später attackierte ShinyHunters erneut und präsentierte eine Lösegeld-Forderung auf den Anmeldeseiten.
Die Frage, ob Instructure Lösegeld zahlte, bleibt offiziell unbeantwortet. Der Konzern sprach von einem “Abkommen” mit den Angreifern, woraufhin ShinyHunters Instructure von seiner Data-Leak-Website entfernte — ein klassisches Indiz für eine Zahlung. Experten deuten stark darauf hin, dass ein Ransom fällig wurde.
Besonders besorgniserregend ist der Zusammenhang mit einem früheren Angriff: Im September 2025 wurde Instructures Salesforce-Instanz durch UNC6040 kompromittiert, einen Threat Actor mit Verbindungen zu ShinyHunters. Der Senat fragt zu Recht, ob Daten aus dieser ersten Kompromittierung für die jüngsten Angriffe missbraucht wurden. Experts warnen, dass Instructure offensichtlich als Zielscheibe für Wiederholungsangriffe markiert wurde.
Abbas Kudrati von Silverfort betont, dass die aktuelle Attacke qualitativ anders war als der Salesforce-Angriff, aber ein wiederholter Angriff auf Instructure von einer High-Value-Target-Perspektive zeige: “Jede Institution, die auf Canvas angewiesen ist, muss mit ähnlichem Targeting rechnen.” Das kritische Zeitfenster zwischen Erkennung und bedeutsamer Schadensentstehung betrage oft nur wenige Stunden — Zeit, die Instructure offensichtlich nicht optimal genutzt hat.