Instructure (Canvas): la piattaforma scolastica colpita da ShinyHunters
Canvas è usata da milioni di studenti e docenti. A inizio maggio 2026, in piena sessione d'esami, la piattaforma è stata messa offline dopo accessi non autorizzati rivendicati da un gruppo di criminali informatici. L'azienda dice di aver raggiunto un accordo con loro.
Scheda aggiornata al 21 ottobre 2026 Seguito nel tempo Le informazioni vengono da fonti pubbliche, elencate in fondo alla pagina; BoNet™ non ha informazioni dirette sull'incidente. Seguiamo il caso ogni settimana, anche dopo che la stampa smette di occuparsene.
Data di inizio dell'evento: 29 aprile 2026 · Ultimo controllo delle fonti: 21 ottobre 2026
- Scheda creata. Ultimo sviluppo che risulta dalle fonti consultate: la dichiarazione di Instructure dell'11 maggio 2026. Non abbiamo ancora verificato sviluppi successivi (cause legali, accertamenti).
- Instructure dichiara l'accordo con l'attore non autorizzato e la disponibilità di tutti gli ambienti Canvas.
- Canvas è «di nuovo online» per la maggior parte degli utenti; molti atenei ancora con funzioni ridotte.
- Instructure rileva attività non autorizzata in Canvas.
Tre cose da sapere
Che cosa è successo
Instructure ha rilevato accessi non autorizzati il 29 aprile, poi altre attività il 7 maggio. Canvas è stata messa offline, ripristinata il 9 maggio e dichiarata pienamente disponibile l'11 maggio.
Che cosa ha comportato
Molte università hanno sospeso l'accesso o spostato esami e scadenze. Secondo Instructure sono stati esposti nomi utente, email, nomi dei corsi, iscrizioni e messaggi.
Che cosa non si sa
La quantità reale dei dati (il gruppo dichiara 275 milioni di record) e se sia stato pagato un riscatto: l'azienda parla di «accordo» e di distruzione dei dati, ma senza verifiche indipendenti.
I fatti, con le fonti
Ogni riga indica da dove viene l'informazione e quanto è solida. «Dichiarato» significa detto da un'azienda o da un'autorità; «riportato» significa scritto dalla stampa; «rivendicato» è ciò che dicono gli aggressori; «stima» e «ipotesi» dicono da soli quanto fidarsi. I numeri tra parentesi rimandano alle fonti in fondo alla pagina.
| Fatto | Stato | Fonti |
|---|---|---|
| Instructure ha dichiarato di aver rilevato il 29 aprile 2026 attività non autorizzata in Canvas, di aver revocato l'accesso all'intruso e avviato un'indagine; il 7 maggio ha individuato altra attività legata allo stesso incidente. | Dichiarato | [1] |
| Secondo Instructure gli aggressori hanno sfruttato una vulnerabilità nel sistema degli account gratuiti per docenti («Free-for-Teacher»), poi temporaneamente chiusi. | Dichiarato | [1] |
| Canvas è andata offline intorno al 7 maggio; il 9 maggio Instructure l'ha dichiarata «di nuovo online» e l'11 maggio ha scritto che tutti gli ambienti erano disponibili. | Dichiarato | [1] [2] |
| Dati interessati secondo Instructure: nomi utente, indirizzi email, nomi dei corsi, informazioni sulle iscrizioni e messaggi. L'azienda ha detto che i contenuti dei corsi, le consegne e le credenziali non risultavano compromessi, con verifiche ancora in corso. | Dichiarato | [1] |
| Il gruppo ShinyHunters ha rivendicato il furto di circa 3,5–3,65 terabyte di dati, circa 275 milioni di record da circa 8.800–9.000 istituti, e ha fissato per il 12 maggio la scadenza per trattare, minacciando altrimenti di pubblicare tutto. | Rivendicato | [1] [2] |
| L'11 maggio Instructure ha scritto di aver «raggiunto un accordo con l'attore non autorizzato», di aver ricevuto la conferma digitale della distruzione dei dati e che nessun cliente sarà ricattato. Non ha dichiarato di aver pagato. | Dichiarato | [1] |
| Università negli Stati Uniti, nel Regno Unito, in Olanda, in Svezia e in Australia hanno sospeso o limitato l'accesso a Canvas o spostato esami e scadenze; Instructure dichiara che Canvas è usata da circa 30 milioni di persone. | Riportato dalla stampa | [2] |
| Secondo The Register circa 330 pagine di accesso di scuole sarebbero state alterate con messaggi del gruppo. | Riportato dalla stampa | [1] |
- Quanti dati siano stati davvero sottratti: le cifre del gruppo (3,65 TB, 275 milioni di record) non sono verificate.
- Se sia stato pagato un riscatto e se la distruzione dei dati sia reale: la conferma viene dall'azienda, senza verifiche indipendenti.
- Gli sviluppi successivi (eventuali cause legali o accertamenti di autorità): non verificati.
Considerazioni generali, valide per qualunque organizzazione: non sono conclusioni sull'azienda colpita.
- Un servizio «gratuito» o di prova collegato allo stesso sistema dei clienti paganti può diventare la porta d'ingresso: va tenuto separato e protetto come il resto.
- Per un fornitore usato da molte scuole, ogni cliente eredita il problema: nei contratti conviene chiedere come il fornitore segnala gli incidenti e in quanto tempo.
- Un «accordo» con chi ha rubato i dati non dà garanzie: non si può sapere se i dati siano stati davvero distrutti. La difesa migliore è raccogliere e conservare meno dati.
Da dove vengono le informazioni
| N. | Fonte | Titolo | Data | Che cosa abbiamo usato |
|---|---|---|---|---|
| [1] | The Register | Articolo sull'incidente Instructure/Canvas | 12 maggio 2026 | Dichiarazioni di Instructure, causa, dati interessati, rivendicazioni, accordo. |
| [2] | Al Jazeera | Hacked educational platform partially restored for millions of students | 9 maggio 2026 | Cronologia dei disservizi, effetti sugli atenei, rivendicazione di ShinyHunters. |
Testi riassunti e riscritti con parole nostre. Se trovi un errore o una novità segnalacelo e correggeremo la scheda.
- Frigoriferi a 50 °C: l'attacco ai supermercati francesi · notte tra l'11 e il 12 ottobre 2026
- ASOS: notifica falsa nell'app e dati di clienti su piattaforme esterne · 6 ottobre 2026
- Brevo: accessi ai clienti e script alterati sui siti collegati · 9–14 settembre 2026
Vuoi capire se la tua rete è esposta a rischi simili?
Il punto di partenza è quasi sempre un'analisi di rete: da lì si vede se servono test invasivi. Ogni richiesta viene valutata caso per caso.
Richiedi informazioni Vai a Efesto