Durante la settimana degli esami finali, la piattaforma educativa Canvas, usata da scuole e università per gestire compiti, messaggi, voti e aggiornamenti di classe, è stata fuori servizio per diverse ore a causa di un incidente di sicurezza informatica. L’azienda Instructure, che gestisce Canvas, ha rilevato il 29 aprile 2026 un accesso non autorizzato, bloccando subito l’intrusione e avviando le indagini con esperti esterni. Successivamente, il 7 maggio, sono state riscontrate ulteriori attività sospette legate allo stesso incidente, tra cui modifiche alle pagine visibili ad alcuni utenti registrati.

L’attacco ha avuto origine da una vulnerabilità nei cosiddetti Free-For-Teacher accounts, utilizzati dagli insegnanti per accedere alla piattaforma senza costi. Per isolare la minaccia, Instructure ha temporaneamente messo offline Canvas e ha chiuso questi account, riportando successivamente la piattaforma online quando le condizioni sono state considerate sicure.

Molte scuole, tra cui Harvard, University of Pennsylvania, Duke, UCLA e University of Nebraska, hanno segnalato difficoltà di accesso. Durante la sospensione, alcune pagine hanno mostrato messaggi attribuiti al gruppo hacker ShinyHunters che ha rivendicato la responsabilità e minacciato di pubblicare dati scolastici se non ci fosse stato un contatto entro il 12 maggio 2026. Gli hacker affermano di aver ottenuto informazioni relative a circa 9.000 scuole e 275 milioni di persone, anche se la portata non è stata confermata dall’azienda.

Secondo le indagini di Instructure, i dati sottratti dall’incidente riguardano informazioni personali come nomi, email, numeri di matricola e messaggi tra utenti di Canvas. Non risultano invece coinvolti password, date di nascita, dati governativi o finanziari. Non sono emerse prove di ulteriori furti di dati nel secondo episodio del 7 maggio, ma le verifiche sono ancora in corso.

La società ha adottato diverse misure di sicurezza, tra cui la revoca delle credenziali privilegiate e la rotazione delle chiavi interne, oltre a una sorveglianza avanzata della piattaforma. Gli account Free-For-Teacher restano temporaneamente disabilitati.

Per prevenire rischi futuri, si consiglia a studenti e docenti di prestare attenzione a messaggi sospetti, non cliccare su link inattesi e non condividere codici di accesso. Si suggerisce di seguire le indicazioni della scuola in caso di richiesta di cambio password, attivare l’autenticazione a più fattori se disponibile, usare software antivirus aggiornati e vigilare su eventuali messaggi che sfruttano informazioni rubate per tentativi di phishing. I genitori dovrebbero inoltre informare gli studenti, soprattutto più giovani, sui rischi delle comunicazioni fraudolente.