Was Sie über den Canvas-Cyberangriff wissen sollten, der Tausende von Schulen betroffen hat

(SeaPRwire) –   In vielen US-Schulen und Universitäten ist gerade Prüfungszeit, doch für einige Schüler, Studenten und Lehrkräfte wurde diese ohnehin stressige Phase durch einen Cyberangriff auf ein weit verbreitetes Lernsystem verschärft, der die persönlichen Daten von Millionen von Nutzern gefährden könnte.

Mehrere Schulen berichteten, dass Canvas, eine webbasierte Plattform des Ed-Tech-Unternehmens Instructure, die für Kursinhalte, Aufgaben und Noten genutzt wird, am Donnerstag offline ging. Laut Instructure hat Canvas mehr als 30 Millionen aktive Nutzer.

Die Studentenzeitung The Harvard Crimson berichtete, dass diejenigen, die am Nachmittag auf die Plattform zugriffen, zu einer Nachricht von Hackern weitergeleitet wurden, die sich als ShinyHunters identifizierten und die Verantwortung für den Einbruch übernahmen.

„ShinyHunters hat Instructure (erneut) gehackt“, hieß es Berichten zufolge in der Nachricht, die TIME nicht unabhängig verifizieren konnte. „Anstatt uns zu kontaktieren, um das Problem zu lösen, haben sie uns ignoriert und einige ‚Sicherheitspatches‘ durchgeführt.“

In einer Erklärung gegenüber TIME am Freitag sagte Instructure, dass man Canvas „aus reiner Vorsicht“ vorübergehend offline genommen habe, um den Zugriff einzuschränken und weitere Untersuchungen durchzuführen.

„Wir haben bestätigt, dass der unbefugte Akteur ein Problem im Zusammenhang mit unseren Free-For-Teacher-Konten ausgenutzt hat“, hieß es in der Erklärung. „Infolgedessen haben wir die schwierige Entscheidung getroffen, unsere Free-For-Teacher-Konten vorübergehend zu schließen. Dies gibt uns die Sicherheit, den Zugang zu Canvas wiederherzustellen, das nun wieder vollständig online und einsatzbereit ist.“

Die Nachricht der Hacker enthielt Berichten zufolge einen Link zu einer Textdatei mit einer Liste von Schulen, von denen sie behaupteten, sie seien von dem Datenleck betroffen. Die Hacker fügten hinzu, dass diejenigen, die die Veröffentlichung der Daten verhindern wollten, sich für eine Einigung an sie wenden sollten. „Sie haben bis zum Ende des Tages am 12. Mai 2026 Zeit, bevor alles geleakt wird.“

Instructure hatte am späten Donnerstagabend auf seiner Website mitgeteilt, dass Canvas „für die meisten Nutzer verfügbar“ sei, während die Plattformen Canvas Beta und Canvas Test „in Wartung“ blieben, Stunden nachdem alle drei in den „Wartungsmodus“ versetzt worden waren.

Die Threat-Intelligence-Tracking-Plattform Ransomware.live veröffentlichte eine Kopie eines früheren Erpresserbriefs von ShinyHunters an Canvas vom 3. Mai, in dem die Gruppe behauptete, über die Daten von 275 Millionen Personen aus fast 9.000 Schulen zu verfügen. „Dies ist eine letzte Warnung, sich bis zum 6. Mai 2026 zu melden, bevor wir die Daten zusammen mit mehreren lästigen (digitalen) Problemen, die auf Sie zukommen werden, veröffentlichen“, warnte die Nachricht.

Am 1. Mai stellte Instructure fest, dass es einen „Cybersecurity-Vorfall gegeben habe, der von einem kriminellen Bedrohungsakteur verübt wurde“. Bis zum 2. Mai erklärte das Ed-Tech-Unternehmen, die Situation sei „unter Kontrolle“, gab jedoch bekannt, dass Namen, E-Mail-Adressen, Studenten-ID-Nummern und Nachrichten zwischen Nutzern zu den Informationen gehören könnten, die bei dem Einbruch erlangt wurden.

Welche Schulen sind betroffen?

Eine Reihe von Hochschuleinrichtungen im ganzen Land, darunter Harvard, sind von dem Ausfall schwer betroffen und befinden sich nun im Krisenbewältigungsmodus.

Einige Universitäten sahen sich gezwungen, geplante Prüfungen und Abgabefristen für Kursarbeiten abzusagen, darunter die Penn State, die University of Illinois und die James Madison University in Virginia. Columbia erklärte, man arbeite „aktiv mit den Fakultäten zusammen, um akademische Störungen zu minimieren, alternative Mechanismen für die Vorbereitung und Durchführung von Prüfungen zu schaffen und in dieser Zeit angemessene Flexibilität zu bieten“.

Neben Flexibilität riefen die Universitäten die Nutzer auch zur Wachsamkeit auf. Georgetown riet dazu, bei unaufgeforderten E-Mails oder Nachrichten, die scheinbar von Canvas stammen, vorsichtig zu sein, insbesondere wenn darin Anmeldedaten oder persönliche Informationen angefordert werden. Den Nutzern der University of Michigan wurde geraten, sich „aus reiner Vorsicht“ sofort von der Canvas-Plattform abzumelden. Die University of California teilte mit, sie habe alle ihre Standorte angewiesen, den Zugriff auf Canvas vorübergehend zu sperren oder umzuleiten, was erst dann wieder rückgängig gemacht werde, „wenn wir sicher sind, dass das System sicher ist“.

Weitere Schulen, die ähnliche Ausfälle gemeldet haben, sind die University of Chicago, die Baylor University in Texas und die University of Maryland.

Was wissen wir über ShinyHunters?

ShinyHunters übernahm die Verantwortung für den jüngsten Angriff auf Instructure sowie für einen ähnlichen Angriff auf das Unternehmen Anfang dieses Monats. Luke Connolly, ein Analyst für Bedrohungsinformationen bei der Cybersecurity-Firma Emsisoft, beschrieb ShinyHunters gegenüber der Associated Press als eine lose Gruppe von Teenagern und jungen Erwachsenen mit Sitz in den USA und im Vereinigten Königreich. Es wird angenommen, dass die Gruppe im Jahr 2020 gegründet wurde und an früheren aufsehenerregenden Hacking-Vorfällen beteiligt war.

Im Jahr 2024 bestätigte der Ticketmaster-Eigentümer Live Nation „unbefugte Aktivitäten“ in seiner Datenbank, nachdem ShinyHunters behauptet hatte, die persönlichen Daten von 560 Millionen Kunden gestohlen zu haben, darunter Telefonnummern und Teile von Kreditkartendaten.

Im selben Jahr gab das US-Justizministerium bekannt, dass der 22-jährige französische Staatsbürger Sebastien Raoult, ein mutmaßliches Mitglied von ShinyHunters, die vom Justizministerium als „berüchtigte internationale Hacker-Crew“ bezeichnet wurde, zu drei Jahren Gefängnis verurteilt und zur Zahlung von mehr als 5 Millionen US-Dollar wegen Verschwörung zum Drahtbetrug und schwerem Identitätsdiebstahl verpflichtet wurde. In der Mitteilung hieß es, Raoult und seine Mitverschwörer hätten Unternehmen gehackt, um vertrauliche Informationen und Kundendaten für Lösegeld oder den Verkauf im Dark Web zu stehlen.

Zu den weiteren früheren Zielen der Gruppe gehören unter anderem Salesforce, wo der TIME-Co-Vorsitzende und Eigentümer Marc Benioff CEO ist, AT&T und Rockstar Games.