美国国会传唤Canvas母公司CEO：一周内遭两次攻击，2.8亿条学生数据被盗

美国国土安全委员会本周一向在线教育平台Canvas的母公司Instructure发出传唤信，要求CEO史蒂夫·达利（Steve Daly）就近期两起重大网络攻击事件出庭作证。勒索组织ShinyHunters在一周内两次攻破该平台，窃取数百万学生数据，并在期末考试期间瘫痪多州学校系统。

委员会主席安德鲁·加巴里诺在信中写道："委员会正在调查有关Instructure Holdings, Inc.近期网络安全事件的令人担忧的报告，这些事件影响了数千万依赖其Canvas学习管理平台的学生、教育工作者和管理人员。"

据BleepingComputer首次报道，Instructure于5月3日披露遭受入侵。公司随后确认，4月29日检测到威胁行为者已渗透其系统，窃取了使用Canvas平台的学生及教职员工数据。泄露信息包括姓名、电子邮箱、学生学号以及师生在平台上的往来消息，但未涉及密码、财务信息或政府身份证件。

同一天，ShinyHunters勒索团伙宣称对攻击负责，并向BleepingComputer表示窃取了2.8亿条数据记录，涉及8,809所学院、学区和在线教育平台。该团伙还公布了一份受影响教育机构名单，各机构被盗记录数量从数万条到数百万条不等。

一周后，ShinyHunters发起第二轮攻击，通过跨站脚本（XSS）漏洞获取管理员认证会话，篡改Canvas登录页面并展示勒索信息，要求Instructure与其谈判。此次破坏波及加利福尼亚、佛罗里达、乔治亚、俄克拉荷马、俄勒冈、内华达、北卡罗来纳、田纳西、犹他、弗吉尼亚和威斯康星等多州院校，部分大学被迫取消期末考试。

国土安全委员会的信件特别提及，攻击者公开声称因Instructure拒绝谈判而再次发起攻击。然而事件在昨夜出现转折：ShinyHunters突然将Instructure从其数据泄露网站移除，公司随即披露已与该团伙达成协议，阻止数据公开泄露。这一反转引发外界对赎金谈判的猜测，但Instructure未披露协议具体条款。

Canvas是美国最广泛使用的学习管理系统之一，覆盖从K-12到高等教育的数千万用户。此次事件暴露了教育科技平台在勒索攻击面前的脆弱性——当学校系统高度依赖单一供应商时，一次安全事件便能在关键时间节点瘫痪整个教育生态。国会介入调查意味着Instructure可能面临更严格的监管审查，也为整个行业敲响警钟。