セキュリティ

Canvas LMS侵害で米大学の期末試験が機能停止

世界9000校が使う学習プラットフォームCanvas LMSが期末試験の真っ只中で停止し、米国の大学が試験を延期する事態になっている。背後にいるのはShinyHunters。同社は1週間で2度突破された。

情報の灯台

2026年5月9日 13:2200

教室の心臓部が止まった

期末試験の週に、Canvas LMSが沈黙した。

5月7日、米国の大学や高校でCanvas LMSのログイン画面が真っ黒な画面に切り替わり、犯罪集団ShinyHuntersの脅迫文が表示された。期末試験の真っ只中、学生は教材も成績も課題提出フォームも見られなくなり、ハーバード大学、ペンシルベニア大学、デューク大学、オクラホマ大学、ウィスコンシン大学マディソン校など多くの大学で授業運営が止まった。マサチューセッツ大学ダートマス校とイリノイ大学は週末の試験を延期した。

Canvas LMSを開発・運営するのはInstructure（インストラクチャー）社（米ユタ州）。世界で3000万人以上のアクティブユーザーを抱え、北米の高等教育機関の約41%がこのシステムで授業を回している。日本でも慶應義塾大学、立教大学、一橋大学、東京大学（一部学部）、日本大学、南山大学などが導入しており、対岸の火事ではない。

ShinyHunters has breached Instructure (again).（ShinyHuntersはまたInstructureを突破した）

これがログイン画面に貼り付けられたメッセージだ。「また」というひと言が、この事件の構造を物語っている。

1週間で2度突破された

時系列を整理する必要がある。

Instructure社の公式FAQによれば、不正アクセスを最初に検知したのは4月29日。5月1日には公式ステータスページで「犯罪行為者によるサイバーセキュリティインシデント」を認め、最高情報セキュリティ責任者（CISO）スティーブ・プラウド（Steve Proud）の名前で声明を出した。5月2日には「インシデントは封じ込めた」と表明。流出したのはユーザー名、メールアドレス、学生ID番号、ユーザー間のメッセージで、パスワードや生年月日、政府発行ID、財務情報の流出は確認されていないとした。

ところがShinyHuntersは5月3日、Ransomware.liveのリークサイトに3.65テラバイトのデータを証拠として投稿。約9000校・2億7500万人分のデータを保有していると主張し、5月6日までに連絡しなければ「いくつかの厄介な（デジタル上の）問題」が起きると警告した。

そしてその警告は、5月7日に現実になった。

期末試験ウィークの木曜日、同集団はCanvasのログインページを改ざんし、「またInstructureを突破した」と宣言。封じ込め完了から5日しか経っていない。Instructure広報のブライアン・ワトキンス（Brian Watkins）はTechCrunchの取材に対し、攻撃者が「Free-For-Teacher」アカウントの不具合を悪用したと認め、当該機能を一時停止した。Free-For-Teacherは教員が無償でCanvasを試せる機能で、検証が比較的緩いアカウント発行経路だ。同じ穴が前週の侵害でも使われていた、と同社は声明で認めている。

つまり、最初の侵害から1週間、Instructure社は同じ穴を塞ぎきれていなかった。

ShinyHuntersという系譜

この集団を「無名の犯罪集団」と紹介するのは正確ではない。

ShinyHunters（シャイニーハンターズ）は2020年に表面化した金銭目的のサイバー犯罪グループで、名前はポケモンの「色違い」を集める「シャイニーハンター」に由来する。「pay or leak」（支払うかリークか）という露骨な恐喝モデルで知られ、2024年のチケットマスター（Ticketmaster）侵害、2025年のSnowflake関連の連鎖攻撃、Salesforce環境を狙ったヴィッシング（音声フィッシング）キャンペーンで世界の大企業を次々と落としてきた。Google、Cisco、Workday、Adidas、ルイ・ヴィトン、Qantasなどがその犠牲者リストに並ぶ。

教育セクターでも前兆はあった。

2025年11月、ペンシルベニア大学（U Penn）が侵害を公表。同大学開発・卒業生関連システムからShinyHuntersが寄付者記録や内部メモを盗んだ。同大学が100万ドル（約1億5500万円）の身代金支払いを拒否すると、2026年2月にHarvard大学を含む2大学で計200万件超のデータがリークされ、3月にはペン大からの追加データ461MB分が公開された。クラウドセキュリティ企業Cloudskopeの分析者は、ペン大事件は「概念実証」、5月1日の侵害は「本番運用」、5月7日の再侵入は「封じ込め失敗の公開実演」と整理している。8カ月かけて段階的に同じベンダーを攻略した、という見立てだ。

教育機関を一つずつ攻めるより、ベンダーを一つ落とせば数千校に被害が一気に広がる構造になっている。サイバー脅威分析企業エムシソフト（Emsisoft）の脅威アナリスト、ルーク・コノリー（Luke Connolly）はAP通信の取材に、ShinyHuntersは米英の若年層を中心とした緩やかなネットワークだと語っている。年齢層から想像するよりはるかに、攻撃の組み立ては計算されている。

なぜFree-For-Teacherだったのか

技術的な要点に降りる。

Canvas LMSは教員がアカウントを発行する経路を複数持っている。一般的な教育機関契約はSSO（シングルサインオン）と監査ログで保護されているが、Free-For-Teacherは個人の教員が無料で試せる経路で、検証は軽い。ノースイースタン大学のセキュリティ専門家エンギン・キルダ（Engin Kirda）は、Northeastern Global Newsで構造をこう表現している。

内部に入った後にアクセスできる範囲は、成績、課題、個人を特定できる情報すべてに価値がある。攻撃者は通常、データを公開すると脅したり、システムの一部を暗号化して支払いを要求する。

ShinyHuntersの常套手段は、ヴィッシング・OAuthトークン悪用・連携アプリの権限濫用だ。今回もFree-For-Teacherを足がかりに、本契約のテナントへ横展開した可能性が高い。同じ穴が再悪用されたことは、最初の修復が表層的だったことを示している。

Canvas LMSがクラウドネイティブな設計を持ち、外部ツールとの連携を売りにしてきたことは、教育現場にとって長らく利点だった。だが連携の広さは、攻撃面の広さでもある。ベンダー一社の脆弱性が数千校・数億人に瞬時に伝播する構造を、業界は受け入れたまま運用を続けている。

日本のCanvas LMS導入校への含意

5月8日時点でInstructure社は被害校への直接通知を進めており、影響範囲の全容は未確定だ。同社は「サードパーティのリストやSNSの投稿を信用せず、Instructureからの直接連絡を待つように」と呼びかけている。

日本国内の導入校は、まだ公式な被害報告を出していない。だが、ShinyHuntersが公開した影響リストは英米だけでなく欧州・アジア太平洋地域も含むと報じられている。Hackread.comは影響機関数を約1万5000件と推計しており、日本の導入校が含まれている可能性は排除できない。

導入大学のIT部門が今すぐ確認すべきは3点。第一に、Canvas LMSのAPIキーとアプリケーション連携トークンの棚卸しと再発行。第二に、Free-For-Teacher経由のアカウントが学内テナントと連携していないかの確認。第三に、学生・教員に対するフィッシングへの注意喚起だ。流出したメールアドレス・学生ID・教員間メッセージは、極めて精巧な偽装メールの素材になる。「Canvasのパスワードをリセットしてください」「教授からの課題ファイルです」を装ったメッセージが、5月12日以降に増える可能性が高い。

学生に何が起きるか

データ侵害の影響は、漏れた瞬間で終わらない。

サイバーセキュリティ企業SocialProof Securityの最高経営責任者（CEO）レイチェル・トバック（Rachel Tobac）は、Canvasが復旧したからといってユーザーは警戒を解くべきではないと米NPRで警告している。「数日中に影響が出ると考えるべきだ」と彼女は述べた。米連邦取引委員会（FTC）も、Equifax、Experian、TransUnionなど主要信用情報機関の無料クレジット凍結・不正アラートの利用を推奨している。

学生にとって最大の懸念は、流出したID番号とメールアドレスが標的型攻撃の起点になることだ。卒業後10年経って、忘れた頃にその情報が悪用される可能性がある。データは消えない。

「scheduled maintenance（定期メンテナンス）」と書いた画面

5月7日、改ざんされたログイン画面はやがて「Canvasは現在定期メンテナンス中です」という清潔な画面に置き換わった。

クラウドセキュリティ企業Cloudskopeは、改ざん発覚直後の数時間、Instructure社の公式ステータスページに5月7日のインシデントが反映されていなかった点を指摘している。世界で目撃された改ざん画面と、社内ステータスページの遅延した「異常なし」表示。この乖離こそが本質的なリスクを浮かび上がらせている。

教育機関は授業を運営するためにCanvasに頼り、学生は単位を取るためにCanvasに頼る。だがCanvasを運営する会社の状況把握能力には、明らかな限界がある。9000校が使うインフラの責任を、1社の対応速度に委ねていいのか。

期末試験の混乱は、来週のうちに収束するだろう。だが「教育インフラはどこまでベンダーに委ねていいのか」という問いは、今回の事件の後も残り続ける。

参照元