Se você trabalha com segurança de TI na área da educação, notícias sobre o Canvas O impacto foi diferente. A Instructure, empresa por trás do sistema de gestão de aprendizagem usado por mais de 8,000 universidades e escolas, sofreu uma grande violação de segurança, com relatos sugerindo que até 275 milhões de usuários podem ter sido afetados. É uma das maiores violações de segurança da história da educação.
Já vi esse padrão antes. E tenho muita empatia pelas equipes neste momento, que estão tendo que lidar com ligações da diretoria, dos pais e da imprensa, tudo ao mesmo tempo.
Embora os relatos iniciais se concentrassem no acesso baseado em credenciais por meio do ambiente Salesforce da Instructure, o quadro completo revela uma cadeia de ataque mais complexa. A violação de abril de 2026 explorou contas do programa Free-For-Teacher — um programa que a Instructure encerrou permanentemente desde então — como principal ponto de entrada. Isso difere da violação de setembro de 2025, que envolveu engenharia social direcionada à instância do Salesforce da Instructure.
Quando a Instructure foi alvo de um ataque anterior, em setembro de 2025, o grupo ShinyHunters usou engenharia social para invadir o ambiente de negócios Salesforce da Instructure, acessando informações de contato comercial, mas não dados de alunos ou clientes da plataforma Canvas. No entanto, a violação de abril de 2026 é categoricamente diferente: teve como alvo o Canvas. sistemas de produção diretamente, comprometendo mensagens privadas, nomes, endereços de e-mail e números de identificação de estudantes de até 275 milhões de usuários. Sistemas diferentes. Impacto diferente. Mesmo agente de ameaça. Isso demonstra que a ShinyHunters considera a Instructure um alvo de alto valor que merece ser revisitado — e qualquer instituição que utilize o Canvas deve presumir que o mesmo ataque pode ocorrer novamente.
Para muitas instituições, O Canvas está conectado ao Salesforce.O mesmo acontece com a maioria das plataformas EdTech modernas.
A pergunta que toda instituição deveria estar fazendo não é apenas "Os dados dos nossos alunos estavam nos sistemas da Instructure?", mas sim "A que nossos fornecedores de SaaS têm acesso em nosso ambiente, por meio de integrações que talvez nem estejamos monitorando?".
Cronologia: Como ocorreu a violação
Para as instituições afetadas, isso significava provas finais adiadasSistemas administrativos bloqueados e equipes de segurança trabalhando 24 horas por dia, 7 dias por semana — frequentemente com informações incompletas.
Entendendo o ataque Canvas do ShinyHunters: integrações SaaS também são identidade.
Grupos como ShinyHunters e Scattered Spider, cujas táticas analisamos detalhadamente, raramente precisam encontrar uma vulnerabilidade técnica quando podem usar uma credencial válida. Eles buscam o caminho de menor resistência: um token OAuth com escopo excessivo, uma conta de serviço com privilégios permanentes ou uma falha na autenticação multifator (MFA) em um sistema legado.
Como o ShinyHunters burla a MFA: phishing de AiTM e código de dispositivo
Pesquisadores de segurança documentaram três técnicas principais usadas pelo ShinyHunters:
Vishing + Phishing AiTM (Adversary-in-the-Middle)
Um atacante, fingindo ser do suporte de TI, liga para um funcionário alvo e o direciona para uma página de phishing com a marca da vítima. À medida que o usuário insere suas credenciais e códigos de MFA (autenticação multifator), a página os retransmite em tempo real para o provedor de identidade legítimo, que vê um login normal e aprova o acesso. A autenticação multifator tradicional é burlada.
Vishing + phishing de código de dispositivo
Os atacantes enganam os usuários para que insiram um código na página de verificação legítima da Microsoft (ou de outro provedor de identidade). Isso concede um token OAuth diretamente — não uma senha ou código MFA. Essa técnica burla todas as formas de MFA, incluindo chaves de acesso, porque visa a camada de autorização em vez do fluxo de login.
Exploração da cadeia de suprimentos OAuth
Em vez de atacar uma instituição diretamente, os invasores comprometem os tokens OAuth de um fornecedor de SaaS e, em seguida, usam esses tokens para acessar o ambiente subsequente. Esse é exatamente o padrão que vimos na violação de segurança do Salesloft Drift — e parece relevante neste caso.
O ponto em comum: o comportamento pós-autenticação é o novo campo de batalha. Se suas ferramentas de segurança sinalizarem apenas o login inicial, você perderá a movimentação lateral subsequente.
Os ambientes educacionais modernos são profundamente integrados. Por exemplo, seu LMS pode se conectar ao seu CRM Salesforce, que por sua vez se conecta ao seu sistema de informações estudantis, que se conecta ao seu provedor de identidade. Cada uma dessas integrações é um token OAuth, uma chave de API ou uma credencial de conta de serviço. Cada uma delas é uma identidade não humana (NHI). E na maioria dos ambientes, essas identidades têm amplo acesso, nenhuma autenticação multifator (MFA), monitoramento mínimo e ninguém claramente responsável por sua segurança.
Uma vez que os atacantes obtêm acesso com credenciais válidas, eles se movem lateralmente, silenciosamente e rapidamente. Quando o alerta é acionado, eles geralmente já estão no ambiente há dias.
O que você pode fazer agora para se proteger contra futuras tentativas de violação de identidade
Audite suas credenciais de integração de SaaS
Quais dos seus fornecedores possuem tokens OAuth ou credenciais de API com acesso ao seu ambiente Salesforce, ao seu IdP ou aos seus sistemas de dados de alunos? Essas são Informações de Saúde Não Pessoais (NHIs) e devem ser tratadas com o mesmo rigor que qualquer conta humana privilegiada: com escopo restrito, monitoramento constante e rodízio de acesso. A maioria das instituições com as quais conversamos não sabe a resposta completa e não tem visibilidade do acesso em todo o seu ambiente. Essa é a primeira coisa a ser corrigida.
Obtenha visibilidade das suas contas de serviço.
Contas de serviço Em seu ambiente local e híbrido, as contas com privilégios permanentes, sem autenticação multifator (MFA) e com pouco monitoramento são essenciais. Comece entendendo o que existe em seu ambiente, não apenas as contas que você conhece, mas também aquelas que acumularam acesso silenciosamente ao longo dos anos devido a alterações no sistema. Você não pode proteger o que não consegue ver.
Implemente a autenticação multifator em todos os lugares — especialmente onde for mais difícil.
A maioria das instituições possui autenticação multifator (MFA) em aplicativos na nuvem e VPNs. Mas os invasores não usam a porta de entrada principal. Eles usam protocolos legados (como NTLM, Kerberos e LDAPS) que contornam completamente os controles modernos. Estender a MFA para abranger esses protocolos sem interromper as operações é uma das medidas mais impactantes que você pode tomar.
Prepare-se para ataques de phishing direcionados usando dados roubados.
A natureza dos dados roubados aumenta significativamente o risco. Como as informações expostas incluem mensagens privadas que fazem referência a cursos reais, nomes de alunos, detalhes de instrutores e relações institucionais, os atacantes podem criar comunicações de phishing altamente personalizadas que fazem referência a cursos e conversas reais. Treinamentos genéricos sobre phishing não são suficientes. Treine os usuários para que passem o cursor sobre os links, verifiquem as solicitações por meio de canais alternativos e tratem qualquer comunicação que faça referência a cursos específicos do Canvas com atenção redobrada. Além disso, monitore novos domínios de phishing que falsificam a marca do Canvas.
GUIA PRÁTICO
Estendendo a MFA para todos os lugares
Como eliminar as lacunas de autenticação legadas e locais
Observe movimentos laterais em tempo real.
O intervalo entre o comprometimento inicial e o dano significativo costuma ser de apenas algumas horas. Detecção e resposta a ameaças de identidade (ITDR) fornece ao seu SOC visibilidade sobre comportamentos anômalos de autenticação, como tempos de acesso incomuns, incompatibilidades de protocolo e contas que acessam sistemas nunca antes utilizados, permitindo que você possa Aja antes que o raio da explosão aumente..
Considere suas obrigações regulatórias
Além da resposta técnica, as instituições afetadas enfrentam requisitos de conformidade significativos. Como o Canvas atende a distritos de ensino fundamental e médio, faculdades, universidades e secretarias de educação, a violação implica:
- FERPA (Lei de Direitos Educacionais e Privacidade da Família): Isso impõe o ônus da notificação à instituição, e não ao fornecedor.
- COPPA (Lei de Proteção da Privacidade Online das Crianças): Relevante para distritos escolares do ensino fundamental e médio que lidam com dados de menores.
- Aproximadamente 130 leis estaduais sobre privacidade estudantil. com prazos e requisitos de notificação variáveis
Instituições que atrasarem a resposta podem enfrentar não apenas danos à reputação, mas também consequências legais e regulatórias. Ações coletivas já estão sendo investigadas contra a Instructure — o que significa que sua instituição também pode ser alvo de litígios. Consulte sua equipe jurídica agora mesmo sobre os requisitos de notificação e as obrigações de documentação.
O que considerar a seguir: Reduzindo a superfície de ataque à sua identidade
Após resolver a vulnerabilidade mais urgente, o trabalho a longo prazo consiste em reduzir sistematicamente a superfície de ataque à sua identidade. Duas capacidades são importantes aqui.
Gerenciamento de postura de segurança de identidade (ISPM) Revela os riscos acumulados ao longo dos anos: contas desatualizadas, políticas de MFA mal configuradas, uso de protocolos legados e contas de serviço com privilégios excessivos. Isso proporciona à sua equipe uma visão contínua e priorizada do que precisa ser corrigido e em que ordem. Essa é a diferença entre reagir a violações de segurança e reduzir as condições que as tornam possíveis.
Inteligência de acesso Vai além, mapeando cada caminho de acesso em seu ambiente, revelando a proliferação de privilégios, direitos não utilizados e rotas ocultas que as ferramentas tradicionais de IAM não detectam. Para ambientes educacionais com anos de direitos de acesso acumulados entre funcionários, professores e dezenas de sistemas integrados, essa visibilidade é o que torna o princípio do menor privilégio prático, em vez de teórico.
As instituições que desenvolvem essa disciplina de postura são as que não acabam nas manchetes na próxima vez que um fornecedor sofrer uma violação de segurança.
Uma nota sobre o quê? Silverfort tem visto
Silverfort Trabalha com instituições incluindo Pembroke College, Cambridge e Universidade do Pacífico exatamente nesses desafios. Também construímos e executamos manuais de resposta a incidentes de identidade contra ShinyHunters e Scattered Spider em tempo real… não como teoria, mas durante ativo ataques.
Se você está se perguntando qual é a posição da sua instituição, vamos conversar sobre isso. Agende uma ligação com nossa equipe hoje mesmo..
Quer saber mais sobre segurança de identidade para o setor educacional?
Leia estudos de caso e aprenda como. Silverfort Ajuda você a proteger todas as dimensões da identidade.
