Datalek Canvas: hoe de ShinyHunters-aanval op Instructure Nederlandse universiteiten raakte

Een datalek via een vertrouwde leverancier

Het datalek bij Canvas laat zien hoe een aanval op één onderwijsleverancier bij elke instelling die het gebruikt terechtkomt. Eind april 2026 werd het leerplatform Canvas, beheerd door het bedrijf Instructure, getroffen door afpersersgroep ShinyHunters. De blootgestelde gegevens omvatten namen, e-mailadressen, studentnummers en privéberichten tussen gebruikers. Voor Nederlandse universiteiten en hogescholen kwam het probleem binnen via een leverancier die ze vertrouwden, niet via de eigen voordeur. Juist dat maakt dit soort datalek lastig in te plannen.

Wat er gebeurde

Instructure constateerde eind april verdachte activiteit en bevestigde het datalek begin mei, volgens dreigingsinformatie van Bitdefender. Het blootstellingsvenster liep ruwweg van 30 april tot 7 mei 2026, waarna Canvas werd hersteld en het misbruikte accountprogramma werd gesloten. ShinyHunters stelde een losgelddeadline, eerst op 6 mei en daarna verlengd naar 12 mei, en veroorzaakte een storing waarbij gebruikers een losgeldbericht te zien kregen, midden in de tentamenperiode bij sommige instellingen.

Op 11 mei bood Instructure excuses aan voor het gebrek aan transparantie en zei het een afspraak met ShinyHunters te hebben bereikt waarbij de gestolen data was vernietigd, met de mededeling dat Canvas weer online was. Net als bij de meeste van dit soort claims is "vernietigd na een deal" niets dat de instellingen stroomafwaarts zelf kunnen verifiëren.

Hoe de aanval werkte

Het bevestigde instappunt was het Free-For-Teacher-programma van Canvas, waarmee docenten Canvas-tenants konden aanmaken zonder verificatie door een instelling, zoals analyse van Rescana uiteenzette. Die laagdrempelige toegang creëerde zwakke vertrouwensgrenzen tussen die gratis accounts en de tenants van instellingen die dezelfde onderliggende infrastructuur deelden. In een multitenant SaaS-omgeving wordt klantdata logisch gescheiden in plaats van fysiek, en zodra het verificatiegat werd misbruikt, kon die scheiding worden ondermijnd.

Dit is de tweede keer in acht maanden dat ShinyHunters Instructure binnendringt. Bij het incident van september 2025 was de Salesforce-omgeving van Instructure het doelwit, via social engineering: een ander type aanval op andere infrastructuur. ShinyHunters is een afpersers-as-a-service-groep met een gedocumenteerde voorgeschiedenis van voice phishing en social engineering voor eerste toegang. Onderzoekers wijzen erop dat de herhaling duidt op stelselmatig richten op onderwijstechnologie en niet op een eenmalig toeval.

Wie zijn er getroffen

ShinyHunters claimde bijna 9.000 instellingen wereldwijd en ongeveer 275 miljoen gebruikers, met zo'n 3,65 terabyte aan data, cijfers die Instructure niet heeft bevestigd. De bevestigde blootgestelde data beperkt zich tot namen, e-mailadressen, studentnummers en sommige privéberichten, zonder aanwijzingen dat wachtwoorden, geboortedata, identiteitsbewijzen of financiële gegevens betrokken waren.

In Nederland zijn 44 onderwijsinstellingen geraakt, en meerdere universiteiten koppelden Canvas uit voorzorg los van hun interne systemen. Het praktische risico voor die instellingen is niet het verlies van wachtwoorden, die niet zijn buitgemaakt, maar de kwaliteit van de data die wel is gestolen: echte namen, echte studentnummers en echte privéberichten maken phishing die veel lastiger te herkennen is dan de generieke soort.

Wat dit betekent voor jouw organisatie

Een paar concrete lessen, of je nu Canvas gebruikt of niet.

Het datalek dat je niet kunt voorkomen, zit bij je leverancier. Je kunt je er wel op voorbereiden. Houd een actuele lijst bij van welke SaaS-platforms de gegevens van je mensen bevatten, en behandel de datalekgeschiedenis van een leverancier als een inkoopsignaal. Twee datalekken bij dezelfde leverancier in acht maanden is informatie, geen ruis.

Gestolen contactgegevens hebben een lange staart. De directe schade hier is reputatie en bedrijfsvoering, maar het blijvende risico is gerichte phishing. Aanvallers met het echte studentnummer en een echte berichtenreeks kunnen een lokmiddel schrijven dat volledig legitiem oogt. Je medewerkers en studenten zien die berichten in de weken erna, niet op de dag van het datalek.

Melden is jouw verantwoordelijkheid, niet die van je leverancier. Onder de AVG ben jij verwerkingsverantwoordelijke voor de gegevens van je gemeenschap. De verklaring van de leverancier ontslaat je niet van de plicht om de blootstelling te beoordelen en, waar nodig, de Autoriteit Persoonsgegevens en de betrokkenen te informeren.

Het nuttigste dat je nu kunt doen, is ervoor zorgen dat je mensen de phishing herkennen die deze data mogelijk maakt. SecDesk verzorgt phishingsimulaties en bewustwordingscampagnes rond de lokmiddelen die jouw organisatie daadwerkelijk kan verwachten. Dat vind je op secdesk.com/phishing-campaign.