Canvas 数据泄露使数百万学生遭遇诈骗

2026 年 Canvas 数据泄露事件可能已经过去，但您孩子的数据真的安全吗？据称，与 ShinyHunters 有关的黑客窃取了全球近 9000 所学校 2.75 亿学生和教师记录的 3.65TB 数据，甚至在期末考试周劫持了学校登录门户。虽然 Instructure 称被盗文件已被 "删除"，但网络安全专家警告说，这些暴露的数据可能已经助长了新一轮的网络钓鱼诈骗、身份盗用和针对家庭的令人信服的虚假学校电子邮件。

简而言之

• 立即更改您的学校密码，即使您所在的地区或大学尚未正式下达命令。
• 小心高度复杂的网络钓鱼电子邮件。攻击者正在利用泄露的内部 Canvas 信息伪造无比逼真的 IT 或教授电子邮件。
• 如果您的孩子未满 18 岁，请冻结其信用。学生数据是身份窃贼的主要资产，他们会在多年未被发现的情况下开设信用额度。
• 在登录任何与 Canvas 或 Instructure 相关的网站之前，使用 ScamAdviser 等免费的独立工具验证每个链接。

2026 年 Canvas 数据泄露事件概述

臭名昭著的网络犯罪团伙 ShinyHunters 声称对入侵 Instructure 系统负责。这不是一次局部性的学校黑客攻击，而是一次全球性的危机，展示了专家们称之为 "平台集中风险 "的危险趋势。网络犯罪分子没有逐一入侵成千上万所学校，而是成功瞄准了它们都依赖的中央云提供商。

• 巨大的全球影响：据了解，此次漏洞涉及近 9,000 家教育机构，全球约有 2.75 亿名学生、教师和员工。
• 广泛破坏：从美国主要学区到澳大利亚墨尔本大学等主要国际中心，全球各地的教育机构都面临混乱。学生发现自己被锁定在平台之外，或者由于系统中断而无法提交重要作业。
• 谁会受到影响？由于云系统保留了记录，因此历史数据也很容易受到影响。例如，一些政府机构（如澳大利亚昆士兰州政府）提前发出警告，早在 2020 年在公立学校工作或学习的任何学生或教职员工都可能受到影响。
• 系统污损：在几个令人震惊的案例中，个别学校和大学的登录页面被黑客明显污损。

哪些数据被泄露（哪些未被泄露）

Canvas 漏洞事件很快演变成 2026 年最大的教育网络攻击之一。根据 Instructure 正在进行的调查，黑客在进入中央财务数据库之前碰了壁，这意味着标准财务信息被屏蔽了。然而，被窃取的信息却带来了另一种危险。

• 已确认曝光：用户（学生、教师和员工）在 Canvas 平台上交换的全名、电子邮件地址、学生证号、课程名称和私人信息。
• 未暴露：社会安全号（或当地税号）、财务账号、信用卡、明文账户密码和出生日期。

事件经过

• 4 月 25-29 日期间，黑客据称窃取了 3.65TB 的数据，涉及 2.75 亿条用户记录。
• 5 月 3 日，ShinyHunters 声称对此事负责，并索要赎金。
• 截至 5 月 7 日，约有 330 所学校的 Canvas 登录页面被赎金软件信息取代。
• 5 月 11 日，Instructure 表示已与攻击者达成 "协议"，据称攻击者删除了被盗数据。
• 未经证实的报道称，赔付金额可能达到 1000 万美元。

为什么被盗 "私信 "是一个重大威胁

许多用户错误地认为，因为财务信息没有被盗，所以它们是安全的。然而，内部 Canvas 信息的曝光引发了对隐私、安全和心理健康的巨大担忧。

通过 Canvas 消息发送的医疗住宿请求、有关学习障碍的讨论、纪律处分以及私人咨询或顾问对话，现在都有可能落入勒索者和骗子之手。这种高度特定的个人背景为骗子提供了他们所需的准确蓝图，使他们能够发动令人信服的后续攻击。

网络钓鱼诈骗和数据泄露后的身份盗窃风险

数据泄露很少以最初的黑客攻击而告终。网络犯罪分子通常会将这些被盗的姓名、学生 ID 和信息记录列表打包，然后出售给专门的网络钓鱼网络。

在 2023 年的 MOVEit 文件传输漏洞事件和 2024 年的PowerSchool 漏洞事件中，我们都看到了这种模式。短短几天内，学生和家长就收到了大量目标明确的电子邮件。

由于 "画布 "攻击者窃取了真实的通信日志，因此骗子现在可以通过电子邮件准确地提到你的老师姓名、具体班级或最近的作业主题。他们会利用这些内部消息打破你的自然怀疑。

如何识别 Canvas / Instructure 冒充企图

骗子会试图利用你对漏洞的焦虑，诱使你交出他们在最初的黑客攻击中未能窃取的账户密码。

网络钓鱼攻击剖析

[From: support@canvas-security-edu.com] <-- 假域名！(看似真实，实则不然）

[主题：UGENT：由于 2026 年 5 月的入侵，您的 Canvas 账户已被锁定］

"亲爱的学生 [您的真实身份号码]、

我们的记录显示，您的账户遭到了未经授权的访问。为了防止学业

为防止学业中止并恢复您的作业门户，您必须在 24 小时内验证您的身份。

单击此处恢复访问：[虚假登录门户链接]"

需要注意的红旗：

1. 发件人域名欺骗：骗子会使用仿冒域名（如 support@canvas-software.com 或 university-it-security.edu），而不是学校的确切官方域名。
2. 人为的紧迫性：要求您在 12、24 或 48 小时内采取行动，以 "避免挂科 "或 "防止永久删除账户"。
   隐藏链接：将鼠标悬停在按钮或链接上，显示的地址与您所在大学或校区已验证的 URL 目录不符。

如何保护自己：家长和学生行动计划

如果您正试图在发生重大学校数据泄露事件后做些什么，您需要在收件箱被恶意电子邮件淹没之前锁定您的数字足迹。今天就采取这些确切的步骤：

1.立即更改 Canvas 和学校电子邮件密码

现在就做。即使学校没有强制要求，也要主动重置密码。使用一个强大、唯一的口令（随机单词、数字和符号的组合），切勿在任何其他网站上重复使用该密码。

2.打开多因素身份验证（MFA）

确保您的 Canvas 门户和学校附属电子邮件账户都已开启多因素身份验证（也称为 2FA）。多因素身份验证要求向验证器应用程序或您的移动设备发送二次代码才能登录。这样，即使黑客通过某种方式骗取您的密码，也能将其一网打尽。

3.实施轻微信用冻结

美国联邦贸易委员会（FTC）强烈建议冻结未成年人的信用。由于未成年人不会申请汽车贷款或信用卡，因此针对儿童的身份盗窃往往多年都不会被察觉。骗子喜欢学生数据，因为他们可以用孩子的名字开立欺诈性账户，让家人在多年后孩子申请大学助学金时才发现灾难。联系三大信用局（Equifax、Experian 和 TransUnion），为您的孩子申请免费的安全冻结。

4.通过 ScamAdviser 验证每个链接

如果您收到任何包含与 Canvas、Instructure 或密码更新相关链接的电子邮件，请勿直接点击。请右键单击并复制链接，然后将其粘贴到 ScamAdviser.com 等免费 URL 检查程序中。ScamAdviser 会分析域名的年龄、所有权的匿名性和服务器的位置，从而立即告诉您该网站是新注册的诈骗门户网站，还是值得信赖的合法学校资产。

5.报告网络钓鱼并向 IT 部门发出警报

如果您发现一封电子邮件引用了特定的 Canvas 信息数据或可疑链接，请不要直接删除。立即将其转发给校区或大学的官方 IT 服务台。这样，网络管理员就可以在全校范围内阻止发件人域名，并警告其他易受攻击的学生。

6.设置谷歌警报

访问 Google Alerts，创建您（或您孩子）的全名、学号或学校名称的监控条件。如果网络犯罪分子最终将这些数据发布到公共论坛或粘贴网站上，您将收到一封自动电子邮件通知，以便迅速做出反应。

7.参考官方帮助指南

收藏并利用官方联邦资源，如IdentityTheft.gov/databreach。它们提供了针对企业数据泄漏的分步检查表，您可以用它来持续监控家人的安全。

如果您的数据已被滥用，该怎么办？

如果您收到从未开立账户的催款电话，发现学生仪表盘被未经授权的修改，或怀疑您孩子的身份已被泄露：

1. 提交一份正式的联邦报告：直接登录IdentityTheft.gov记录欺诈行为。您将使用这份官方文件来清除您孩子的记录，并对欺诈性收费提出异议。
2. 联系当地 IT 部门和警方：通知学校管理部门，确保您的学籍档案安全，并向警方报告身份被盗，以建立法律文件线索。
3. 减少网上曝光：像Incogni这样的服务可以帮助你从收集和出售敏感信息的数据中介网站上删除个人信息，降低骗子利用泄露的数据进行网络钓鱼、身份盗窃或欺诈的风险。

教育机构的行动项目

虽然家庭必须在第一线保护自己，但 Canvas 事件证明，教育机构本身需要进行系统性转变。展望未来，中小学和大学必须实施 "零信任 "架构--即持续验证每一个内部访问请求，并对数据进行大量加密。

此外，与学生福祉、心理健康咨询或残障人士住宿相关的高度敏感信息必须通过限制访问权限进行隔离，而不是捆绑到一般的信息平台上，让单一的企业供应商黑客将其暴露给全世界。

常见问题
Canvas 黑客是否窃取了我的实际登录密码？

没有。Instructure 已经确认，加密密码、金融账户和政府颁发的 ID 在最初的漏洞中没有被泄露。但是，黑客目前正试图利用泄露的数据发送伪造的登录链接来窃取这些密码。

如果不小心点击了伪造的 Canvas 电子邮件中的链接，该怎么办？

立即断开设备与互联网的连接（关闭 Wi-Fi）。运行全面的恶意软件和防病毒扫描。使用不同的安全设备登录学校账户，立即更改密码，并提醒学校 IT 部门监控账户的异常登录位置。

骗子如何仅用我的学生证号码就能伤害我？

通过将您的学生证与您的姓名和泄露的课程名称配对，骗子可以制作出令人难以置信的虚假电子邮件。他们利用学生证号码作为他们是学校官方实体的 "证明"，诱使您放松警惕，从而交出更具破坏性的信息，如您的社会安全号或银行凭证。

我的学校会通过电子邮件就Instructure漏洞直接联系我吗？

大多数学校都会避免主动发送含有直接链接的电子邮件，要求在发生漏洞后紧急重置密码。相反，合法机构会直接在其经过验证的公共主页或学生门户网站上发布官方提醒和说明。如有疑问，请打开浏览器，手动输入学校的官方网站地址，并查找其安全公告栏。

亚当-柯林斯是 ScamAdviser 的网络安全研究员，为了隐私和安全起见，他使用化名。他在数字前线工作了四年多，擅长将复杂的威胁转化为可行的建议。他的使命是：揭露红旗，让您放心浏览网络。

查看完整简历

免责声明：本文中的某些链接可能是联盟链接，这意味着如果您采取行动，我们可能会赚取少量佣金，而您无需支付额外费用。