Canvas LMSのデータ流出：何が漏れ、なぜ「2億7500万人」は未確認なのか

まず押さえるべき3点

この違いは重要です。漏えいした可能性のあるデータの種類はInstructureの説明や複数の報道で一定程度示されていますが、総人数については、現時点では攻撃者側の未確認の主張として扱うべきです 。

どのデータが関係しているのか

公開情報で繰り返し挙がっているのは、本人識別や連絡に使われる情報です。BleepingComputerはInstructureの更新内容として、関係する情報は氏名、メールアドレス、学生ID番号、ユーザー間メッセージとみられると伝えています 。ほかの報道も同じ中核的な項目を挙げています 。

現時点で名前が出ている主な項目は次の通りです。

• 氏名
• メールアドレス
• 学生ID番号
• Canvas利用者間のメッセージ

現時点で含まれていないとされるもの

SecurityPointBreakは、Instructureがこれまでに、パスワード、生年月日、政府発行IDなどの公的識別子、金融情報が関与した証拠を見つけていないと伝えています 。Daily.devも、パスワード、金融データ、公的識別子は現段階では含まれていないとまとめています 。

ただし、これは最終報告ではありません。Instructureは調査継続中という前提で説明しており、複数の報道も調査が続いていることを伝えています 。

「2億7500万人」という数字はどこから来たのか

この件で最も目を引くのが、約2億7500万人という数字です。ShinyHuntersは、3.65TBのデータを取得したと主張し、その対象は学生、教員、職員など約2億7500万人、約9,000の教育機関に及ぶとしています 。

ただし、これはあくまで攻撃者側の主張です。SecurityWeekは、Instructureが何機関・何ユーザーが影響を受けたのかについて詳細を共有していないと報じています 。Instructureまたは独立した調査で裏付けられるまでは、約2億7500万人という数字を確認済みの被害者数として扱うことはできません。

パスワードが出ていないなら安心か

完全に安心とは言えません。氏名とメールアドレスの組み合わせだけでも、学校や大学、コース運営を装った不審メールの入口になり得ます。さらに学生ID番号やユーザー間メッセージが含まれる場合、相手が事情を知っているように見せかける材料になり、詐欺やフィッシングを見分けにくくするおそれがあります 。

Canvasに関する予期しないメールやメッセージを受け取った場合は、本文中のリンクからログインするのではなく、普段使っているブックマークや所属先の公式ページからアクセスするのが安全です。

利用者がいま確認すべきこと

個々のアカウントや所属機関が影響を受けたかどうかは、公開されている大きな数字だけでは判断できません。Instructureの説明は、影響を受けた機関のユーザーに関する情報という位置づけであり、SecurityWeekによれば機関数・ユーザー数の詳細も未公表です 。

利用者が取れる現実的な対応は次の通りです。

• 自分の学校、大学、勤務先、IT部門からの公式通知を確認する。
• Canvas関連を名乗る予期しないメールやメッセージでは、埋め込みリンクからログインしない。
• アカウント確認やパスワード変更を求められた場合は、所属機関の公式ページや既知のログイン画面から確認する。
• パスワード変更は、所属機関が求める場合や、同じパスワードを他サービスでも使い回している場合に優先する。現時点でパスワードが関与した証拠はないとされています 。

まとめ

現時点で確認・報道されているのは、Canvasを提供するInstructureのデータ流出で、影響を受けた教育機関のユーザーの氏名、メールアドレス、学生ID番号、ユーザー間メッセージなどが露出したという点です 。

一方、3.65TB、約2億7500万人、約9,000教育機関という規模はShinyHuntersの主張であり、Instructureが被害規模として認めた数字ではありません 。いまは大きな数字だけに振り回されず、所属機関からの正式な案内と、フィッシング対策を優先して確認する段階です。