Op basis van wat nu publiek bekend is, lijkt het erop dat de hackersgroep ShinyHunters is binnengekomen via een kwetsbaarheid of fout in de zogeheten “Free-for-Teacher”-omgeving van Instructure, het bedrijf achter Canvas. Maar: de exacte technische methode is nog niet openbaar gemaakt.

Dit is wat er wél bekend is:

1. Instructure heeft bevestigd dat de aanvallers “een issue related to Free-for-Teacher accounts” hebben misbruikt.
2. Free-for-Teacher is een gratis, zelfbedieningsversie van Canvas waarmee docenten of gebruikers zonder volledige schoollicentie delen van Canvas kunnen gebruiken of testen.

Na de aanval heeft Instructure die hele Free-for-Teacher-service tijdelijk offline gehaald.
De hackers kregen blijkbaar toegang tot gebruikersdata zoals namen, e-mails, student-ID’s en Canvas-berichten. Volgens Instructure zijn wachtwoorden en betaalgegevens níet buitgemaakt.

Wat vermoedelijk gebeurde:

1. Er zat een beveiligingslek of verkeerde configuratie in die Free-for-Teacher-omgeving.
2. Omdat die omgeving gekoppeld was aan bredere Canvas-systemen of API’s, konden de aanvallers verder bewegen binnen de infrastructuur.
3. Daarna hebben ze data geëxporteerd en later zelfs sommige loginpagina’s aangepast (defacement).

Krebs on Security en persbureau Reuters melden dat verschillende Universiteiten overwegen ShinyHunters te betalen om te voorkomen dat de gestolen data wordt gepubliceerd.

https://www.reuters.com/legal/litigation/schools-reach-out-hackers-canvas-breach-hits-us-classrooms-source-says-2026-05-08/