Canvas wereldwijd gehackt
Instructure, de leverancier van het LMS Canvas, is slachtoffer geworden van een hack. De hack op Canvas vond vorige week plaats door hackersgroep ShinyHunters. Daarbij is een datalek ontstaan waarbij onbevoegden toegang hebben gekregen tot gegevens. Wereldwijd zijn mogelijk gegevens van circa 275 miljoen studenten, docenten en medewerkers buitgemaakt. Ongeveer 9.000 onderwijsinstellingen zijn getroffen, waaronder Zadkine, Techniek College Rotterdam en VAVO Rijnmond College.
Het gaat om gegevens zoals namen, e-mailadressen, studentnummer en onderlinge berichten tussen studenten en docenten. Voorlopig zijn er geen aanwijzingen dat wachtwoorden, financiële gegevens of identiteitsgegevens zijn buitgemaakt.
Zadkine monitoort en onderzoekt de situatie nauwgezet. Zo is er contact met Instructure om meer duidelijkheid te krijgen over de eventuele impact van de gedeelde gegevens. Daarnaast wachten wij de resultaten af van nader onderzoek door Instructure. Volgens het moederbedrijf is het platform inmiddels beveiligd en zijn aanvullende maatregelen genomen. De online leeromgeving functioneert inmiddels weer en is weer toegankelijk voor medewerkers en studenten.
Over Instructure en Canvas
Het Amerikaanse Instructure bestaat sinds 2008. Het learning management system Canvas is de belangrijkste activiteit van het bedrijf. Wereldwijd maken zo’n negenduizend onderwijsinstellingen er gebruik van. In 2024 werd Instructure voor 4,8 miljard dollar opgekocht door investeringsfonds KKR.
Kenmerkend aan Canvas is dat de software niet op de servers van universiteiten en hogescholen zelf draait, maar op servers van Amazon’s AWS. Instellingen krijgen een eigen login, maar verder beheert Instructure de software en de data.
In principe zijn de gegevens van de ene onderwijsinstelling streng gescheiden van andere instellingen, blijkt uit een privacy-APK die IT-coöperatie SURF vorig jaar uitvoerde. Maar dat heeft kennelijk niet kunnen voorkomen dat de hackers de gegevens van miljoenen gebruikers konden stelen. Hoe ShinyHunters de data van zoveel instellingen kon bemachtigen is nog niet bekend.