ShinyHunters tấn công Canvas LMS: Hàng loạt dữ liệu sinh viên và giảng viên bị lộ

[WhiteHat Team]

Một vụ rò rỉ dữ liệu nghiêm trọng vừa được phát hiện trên nền tảng quản lý học tập trực tuyến Canvas LMS của công ty công nghệ giáo dục Instructure, làm dấy lên lo ngại về mức độ an toàn của các hệ thống giáo dục số hiện nay.
​

​

Theo xác nhận từ Instructure, tin tặc đã lợi dụng chương trình tài khoản “Free-For-Teacher” để xâm nhập vào hệ thống, truy cập trái phép dữ liệu nhạy cảm của sinh viên và giảng viên trong khoảng thời gian từ cuối tháng 4 đến đầu tháng 5/2026.

Đứng sau vụ việc được cho là nhóm tấn công mạng khét tiếng ShinyHunters (nhóm từng liên quan đến nhiều chiến dịch đánh cắp và tống tiền dữ liệu quy mô lớn trên toàn cầu). Đáng chú ý, đây đã là lần thứ hai nhóm này nhắm mục tiêu vào Instructure chỉ trong vòng chưa đầy một năm, cho thấy các hệ thống giáo dục đang trở thành “mỏ vàng dữ liệu” mới đối với tội phạm mạng.​

Cuộc tấn công nhắm trực tiếp vào nền tảng học tập Canvas​

Canvas LMS là một trong những nền tảng quản lý học tập trực tuyến phổ biến nhất hiện nay, được nhiều trường học, đại học và tổ chức giáo dục trên thế giới sử dụng để quản lý bài giảng, bài tập, điểm số và trao đổi nội bộ giữa giảng viên với sinh viên.

Theo thông tin công bố, lần tấn công này không chỉ dừng ở các hệ thống phụ trợ như vụ việc trước đó liên quan đến Salesforce hồi năm 2025, mà đã ảnh hưởng trực tiếp đến nền tảng Canvas lõi. Điều này khiến mức độ nghiêm trọng của sự cố tăng lên đáng kể.

Dữ liệu bị truy cập trái phép bao gồm tên người dùng, email học thuật, mã số sinh viên, cùng các tin nhắn riêng tư trao đổi bên trong hệ thống Canvas. Đây đều là những thông tin có giá trị cao đối với các chiến dịch lừa đảo có chủ đích hoặc giả mạo danh tính.​

Nguyên nhân đến từ mô hình “đa thuê” và tài khoản miễn phí​

Theo các chuyên gia bảo mật, nguyên nhân sâu xa của vụ việc nằm ở mô hình hạ tầng “multi-tenant”, tức nhiều khách hàng cùng sử dụng chung hệ thống backend và cơ sở dữ liệu.

Chương trình “Free-For-Teacher” của Canvas cho phép giáo viên tạo tài khoản miễn phí với quy trình xác minh đơn giản hơn rất nhiều so với khách hàng doanh nghiệp hoặc trường học chính thức. Dù được tách biệt ở mức logic, các tài khoản miễn phí này vẫn vận hành trên cùng hạ tầng với hệ thống chính thức.
Tin tặc được cho là đã khai thác một lỗ hổng hoặc sai sót trong cơ chế xác minh của nhóm tài khoản miễn phí, từ đó phá vỡ ranh giới phân tách dữ liệu và mở đường truy cập sang các môi trường chứa dữ liệu thật của sinh viên và giảng viên.

Khác với nhiều sự cố an ninh mạng truyền thống, hiện chưa có mã CVE hay điểm CVSS cụ thể nào được công bố cho vụ việc này. Tuy nhiên, giới chuyên gia đánh giá đây là một sự cố đặc biệt nguy hiểm bởi nó liên quan trực tiếp đến kiến trúc nền tảng và mô hình phân quyền dữ liệu của dịch vụ SaaS.​

Tin tặc có thể khai thác dữ liệu như thế nào?​

Theo phân tích từ các đơn vị nghiên cứu an ninh mạng, rủi ro lớn nhất sau vụ rò rỉ là các chiến dịch spear-phishing. Khi sở hữu email trường học, mã số sinh viên và nội dung trao đổi thật giữa giảng viên với người học, kẻ tấn công có thể tạo ra các email giả mạo rất khó phân biệt. Ví dụ, chúng có thể gửi email yêu cầu sinh viên tải tài liệu môn học, xác minh tài khoản hoặc thanh toán học phí với nội dung trích dẫn chính xác các cuộc hội thoại trước đó.

Điểm nguy hiểm là các email dạng này thường vượt qua được cả sự cảnh giác của người dùng lẫn nhiều bộ lọc chống spam truyền thống, bởi nội dung và dữ liệu sử dụng đều mang tính xác thực rất cao.

Ngoài nguy cơ lừa đảo, dữ liệu bị lộ còn có thể bị sử dụng để:​

• Chiếm đoạt tài khoản học tập hoặc email trường học​
• Thu thập thông tin phục vụ tấn công vào giảng viên và quản trị viên​
• Phát tán mã độc thông qua tài liệu học tập giả mạo​
• Tấn công chuỗi cung ứng giáo dục số​
• Mua bán dữ liệu trên các diễn đàn ngầm​

ShinyHunters tiếp tục mở chiến dịch tống tiền dữ liệu​

Sau khi thực hiện cuộc tấn công, nhóm ShinyHunters được cho là đã mở chiến dịch tống tiền công khai, yêu cầu nạn nhân phản hồi trước thời hạn giữa tháng 5/2026.

Một số địa chỉ rò rỉ dữ liệu và danh sách tổ chức bị ảnh hưởng đã xuất hiện trên hạ tầng ngầm của nhóm này. Các chuyên gia khuyến cáo người dùng tuyệt đối không truy cập các liên kết liên quan nếu không thực sự cần thiết và chỉ phân tích trong môi trường sandbox hoặc hệ thống threat intelligence chuyên dụng.​

Mức độ ảnh hưởng không chỉ dừng ở một trường học​

Điều khiến vụ việc trở nên đáng lo ngại là Canvas LMS được sử dụng rộng rãi trong lĩnh vực giáo dục toàn cầu. Một lỗ hổng hoặc sai sót trong cơ chế phân tách dữ liệu có thể kéo theo hiệu ứng dây chuyền trên diện rộng.

Các chuyên gia cho rằng đây là lời cảnh báo lớn đối với toàn bộ ngành edtech - nơi nhiều nền tảng miễn phí và trả phí cùng chia sẻ hạ tầng vận hành. Nếu cơ chế cô lập dữ liệu không đủ chặt chẽ, một tài khoản ít được kiểm soát cũng có thể trở thành “cửa hậu” dẫn tới dữ liệu của hàng triệu người dùng.​

Người dùng và nhà trường cần làm gì?​

Các chuyên gia an ninh mạng khuyến nghị các tổ chức giáo dục cần nhanh chóng rà soát lại toàn bộ hệ thống tài khoản, đặc biệt là các tenant miễn phí hoặc tài khoản thử nghiệm tồn tại trên cùng hạ tầng sản xuất.

Đối với sinh viên, giảng viên và quản trị viên hệ thống, cần đặc biệt lưu ý:​

• Đổi mật khẩu ngay nếu đang sử dụng Canvas hoặc tái sử dụng mật khẩu trên nhiều dịch vụ​
• Kích hoạt xác thực đa lớp (MFA/2FA) cho email và tài khoản học tập​
• Cảnh giác với email yêu cầu tải file, xác minh tài khoản hoặc nhập thông tin đăng nhập​
• Kiểm tra kỹ tên miền và người gửi trước khi mở liên kết​
• Theo dõi các hoạt động đăng nhập bất thường trên tài khoản học tập​
• Nhà trường nên tăng cường giám sát hành vi truy cập bất thường và phân tách hạ tầng dữ liệu chặt chẽ hơn​

Hồi chuông cảnh báo cho ngành giáo dục số​

Vụ tấn công nhằm vào Canvas LMS cho thấy dữ liệu giáo dục đang trở thành mục tiêu hấp dẫn của tội phạm mạng, không kém gì lĩnh vực tài chính hay doanh nghiệp. Khi quá trình chuyển đổi số trong giáo dục ngày càng mở rộng, các nền tảng học tập trực tuyến không chỉ cần thuận tiện mà còn phải được thiết kế với tư duy “an toàn ngay từ kiến trúc”.

Trong bối cảnh các nhóm như ShinyHunters liên tục mở rộng quy mô hoạt động, chỉ một điểm yếu nhỏ trong cơ chế xác minh hoặc phân tách dữ liệu cũng có thể kéo theo hậu quả trên diện rộng, ảnh hưởng trực tiếp đến học sinh, sinh viên, giảng viên và cả hệ sinh thái giáo dục số toàn cầu.​