Il gruppo di estorsione ShinyHunters ha messo a segno quella che è ormai considerata la più grave violazione di dati mai registrata nel settore dell'istruzione. Sfruttando una vulnerabilità nei sistemi di produzione di Instructure, l'azienda dietro la piattaforma di e-learning Canvas, gli attaccanti hanno sottratto circa 3,65 terabyte di dati riferiti a 275 milioni di utenti in tutto il mondo.

Una violazione di scala planetaria

L'attacco ha avuto inizio il 25 aprile 2026, quando ShinyHunters ha ottenuto l'accesso sfruttando una falla nella versione Free-For-Teacher di Canvas, la funzione che permetteva ai docenti di creare account senza verifica da parte dell'istituto. L'impatto è globale: risultano coinvolti 8.809 tra università, ministeri dell'istruzione e istituti in Stati Uniti, Regno Unito, Canada, Australia, Nuova Zelanda e alcuni Paesi europei.

A rendere l'episodio particolarmente grave non è solo il numero di persone interessate, ma la natura dei dati: oltre a nomi, indirizzi email e matricole studenti, sono stati esposti anche i messaggi privati scambiati tra studenti e insegnanti. Una circostanza che trasforma la fuga di dati da semplice elenco di contatti a qualcosa di molto più sensibile e potenzialmente ricattabile.

Instructure ha però precisato di non aver trovato prove che siano state coinvolte password, date di nascita, identificativi governativi o informazioni finanziarie, e che il servizio Canvas è tornato a funzionare regolarmente.

Non è la prima volta

Per Instructure si tratta della seconda compromissione confermata da parte di ShinyHunters nel giro di circa otto mesi. Nel settembre 2025 lo stesso gruppo aveva colpito l'azienda con un attacco di ingegneria sociale rivolto al suo ambiente Salesforce. Un campanello d'allarme evidentemente non sufficiente a chiudere tutte le porte.

L'accordo con gli estorsori

La vicenda si è chiusa con un accordo raggiunto l'11 maggio 2026, un giorno prima della scadenza fissata dagli aggressori per la pubblicazione dei dati. Secondo quanto riferito, i criminali avrebbero restituito i dati sottratti, fornendo dei shred log come prova digitale della loro distruzione. I termini non sono pubblici, ma indiscrezioni non confermate parlano di un pagamento di 10 milioni di dollari.

Cosa imparare da questo caso

  • Le piattaforme educative custodiscono enormi quantità di dati personali, spesso di minori: vanno trattate come infrastrutture critiche, non come semplici strumenti didattici.
  • Le funzioni a basso attrito pensate per facilitare l'adozione (come la creazione di account senza verifica) possono diventare il punto d'ingresso degli attaccanti.
  • Una prima violazione va considerata un segnale: chi è già stato colpito è spesso un bersaglio ricorrente se non rivede in profondità le proprie difese.
  • Il pagamento di un riscatto non garantisce la reale distruzione dei dati: l'unica certezza, per gli utenti, è che le informazioni sono uscite dal perimetro dell'organizzazione.

Per studenti e personale coinvolti la raccomandazione è la consueta in questi casi: diffidare di email di phishing che sfruttano il contesto scolastico, attivare l'autenticazione a più fattori dove possibile e prestare attenzione a comunicazioni che facciano leva su dati apparentemente legittimi.