米教育大手インストラクチャーが提供する学習管理システム「Canvas（キャンバス）」で、大規模な情報流出が起きたことが明らかになりました。犯行集団「ShinyHunters（シャイニーハンターズ）」は、約8,800校・2億7,500万人分に及ぶデータを盗み出したと主張しています。世界の教育機関で広く使われるサービスだけに、被害の広がりが懸念されます。
2億7,500万件を窃取と主張
Canvasは、学校や大学が課題の配布や成績管理、生徒とのやり取りに使う「学習管理システム（LMS）」です。今回問題となったのは、教員向けの無料サービスの弱点を突かれたことが発端とされます。攻撃者は約8,800の教育機関から、合計3.65テラバイト、約2億7,500万件に及ぶデータを抜き取ったと主張しています。
流出はプライバシー情報が中心
流出した可能性があるのは、生徒や職員の氏名、メールアドレス、学籍番号、利用者間でやり取りされたメッセージなどの個人情報です。運営元のインストラクチャーは情報流出の事実を認めたうえで、パスワードや政府発行の身分証番号、生年月日、金融情報が盗まれた形跡は確認されていないと説明しています。被害はプライバシー情報にとどまるものの、対象者の規模は極めて大きいものです。
交渉決裂で個別脅迫に転換
事態はその後さらに深刻化しました。攻撃者側との交渉が決裂すると、ShinyHuntersは約330の教育機関のログイン画面を書き換えたうえ、学校を個別に脅迫する手口に切り替えたとされます。同集団は近年、大企業を標的に盗んだデータを「公開する」と脅して金銭を要求する恐喝を繰り返しており、教育分野を新たな標的に定めた形です。生成AIの普及でオンライン学習が急速に広がるなか、教育機関が抱える大量の個人情報は、攻撃者にとって格好の標的となっています。
日本への影響
日本の教育現場でも、GIGAスクール構想のもとで小中学校に1人1台の端末が配られ、Google ClassroomやMicrosoft Teamsなどの学習管理サービスの利用が一気に広がりました。今回の流出は海外の事例ですが、日本の学校や大学も大量の生徒情報をクラウド上で扱っている点では同じ構図にあり、決して人ごとではありません。教育委員会や学校法人は、利用中のサービスの安全対策や、業者との契約における情報管理の取り決めを改めて点検することが求められます。
保護者や生徒にとっても、自分の情報を守る意識が大切になります。学校サービスと同じパスワードを別のサイトで使い回さない、身に覚えのないメールやログイン要求に応じないといった基本的な対策が、被害を防ぐ第一歩となります。デジタル化が進む教育の利便性を生かすためにも、一人ひとりがセキュリティへの意識を高めていくことが重要です。
まとめ：数億人分の情報流出は、デジタル教育の光と影を映します。便利さと安全を両立させる工夫を考えていきましょう。
出典:
CSO Online – Lessons from the Canvas cyberattack
Reed Smith – Canvas/Instructure cyberattack key developments
Malwarebytes – Millions of students’ personal data stolen
Photo: Sanket Mishra / Unsplash
