Canvas（Instructure）ShinyHunters侵害——2億7500万人データが脅迫対象、身代金期限は5月12日

何が起きたか

2026年5月7日〜8日、教育機関向けLMS（学習管理システム）最大手InstructureのCanvasプラットフォームが大規模なサイバー攻撃を受けたことが広く報道された。

最初の侵害検知:  2026年4月29日（Instructure社内）
脅迫グループ:    ShinyHunters
請求データ規模:  9,000校 / 2億7,500万人のアフィリエイトデータ
身代金期限:      2026年5月12日（日本時間 5月13日早朝）
サービス停止:    数日間（現在は復旧済み）

影響を受けた主な機関（報道ベース）：Columbia、Rutgers、Princeton、Georgetown、Harvard、Kent State、University of Pennsylvaniaほか。加州・フロリダ・テキサスなど複数州の公立高校・大学も含まれる。

ShinyHuntersとは

ShinyHuntersは2020年から活動するサイバー犯罪グループで、Ticketmaster・AT&T・Santanderなどの大規模侵害で知られる。

過去の主な侵害:
- 2024: Ticketmaster（5億6000万人）
- 2024: AT&T（1億1000万件）
- 2024: Santander Bank（3000万人）
- 2026: Instructure Canvas（2億7500万人）← 今回

データを盗み出した後、被害者（企業・機関）に身代金を要求し、支払われなければRaidForumsなどのダークウェブサイトでデータを公開・販売するパターンをとる。

インシデントの経緯

タイムライン:

2026-04-29: Instructureが内部で不正アクセスを検知
2026-05-07: ShinyHuntersがCanvasのログインページを改ざん、脅迫メッセージを掲示
           → Canvasがサービス停止（全米9000校が影響）
2026-05-07: CNN・NPRなど主要メディアが報道
2026-05-08: CanvasがPatheを当てて再稼働
2026-05-08: ShinyHuntersが「Instructureは小さなパッチで誤魔化した」と主張、
           二次メッセージで5月12日までに交渉するよう各校に要求
2026-05-10: 身代金期限2日前（現在進行中）

最初の侵害から一般報道まで約9日間のタイムラグがあった。この間に何が奪われたかはまだ完全には公開されていない。

盗まれた可能性があるデータ

ShinyHuntersは「個人的な会話を含む数十億のプライベートメッセージ」と主張している。教育機関のLMSに保存されるデータとして一般的なものは以下の通りだ：

LMSが保存するデータカテゴリ（一般的な例）:
├── 個人情報（氏名・メールアドレス・学籍番号）
├── 課題・成績・学業記録
├── ディスカッション投稿・プライベートメッセージ
├── 出席・行動パターン
└── 連携SSO情報（Google/Microsoft等）

未確認事項: ShinyHuntersの主張するデータ規模（2億7500万人）の真偽、および実際に何のデータが窃取されたかについてはInstructureの公式開示を待つ必要がある。報道ベースの情報には誇張が含まれる可能性がある。

影響を受ける可能性がある人がすべきこと

学生・教職員

今すぐやること:
1. Canvasのパスワードを他のサービスと共有している場合は今すぐ変更
2. Canvasアカウントに登録したメールアドレスを確認
3. そのメールアドレスに対して多要素認証（MFA）を設定
4. フィッシングメールへの警戒（盗まれたメールアドレスが使われる可能性）

教育機関のIT担当者

確認すべきこと:
□ Canvas APIトークン / OAuthアプリの見直し（不審なアクセスを無効化）
□ SSO（Googleワークスペース / Microsoft Entra ID）のCanvas連携の監査
□ 学生・教職員へのパスワード変更通知の発出
□ インシデントレスポンスプランの確認・発動
□ Instructureからの公式通知の収集
□ 身代金支払いの法的・倫理的判断（OFAC規制に注意）

「なぜ期末試験週に？」という疑問への答え

ShinyHuntersが4月末に侵害しながら5月の試験週に公表・サービス妨害した理由は明白だ：

攻撃者の論理:
├── 試験週 = 機関の交渉圧力が最大
├── 学生・親・報道の注目が最大
└── 機関が「素早く解決したい」心理的プレッシャーを使う

これはランサムウェア攻撃の典型的な手法だ。病院が繁忙期に狙われるのと同じ原理——被害者が支払いに応じる確率が上がる。

開発者・ビルダーへの実践的示唆

教育プラットフォームや大規模LMSを開発・運用する立場では今回の事件が示す教訓が多い：

# 教訓1: データ最小化（必要なデータだけ保持する）
# 2億7500万人分のプライベートメッセージを一元管理するのは
# 標的としての価値を最大化する設計

# 教訓2: データ分類とアクセス制御
# 成績データ・メッセージ・個人情報は別々の
# アクセス制御ドメインで管理すべき

# 教訓3: 侵害検知から開示までの時間短縮
# 4月29日侵害 → 5月7日公表：9日間は長すぎた
# GDPR/CCPA等では通常72時間以内の当局通知義務がある

まとめ・参考リンク

Canvasへの攻撃は教育機関の巨大なデータ集積が攻撃者にとって魅力的な標的であることを改めて示した。身代金期限の5月12日以降、データが公開・販売される可能性があり、状況は現在も進行中だ。Instructureの公式通知を注視し、パスワード・MFAの再設定を急ぐこと。

参考リンク：

注意事項: ShinyHuntersの主張するデータ規模（2億7500万人）の正確性は未確認。Instructureの公式発表が出次第、情報を更新すること。身代金支払いはFBI・CISA・OFACが推奨しておらず法的リスクを伴う。

S	公式ソース確認済み
A	成功実績多数・失敗例少数
B	賛否両論
C	動作未確認・セキュリティリスク高
Z	個人所感