如果你所在学校、高校或培训机构使用 Canvas，先别急着把“2.75 亿人受影响”当成定论。Canvas 是 Instructure 旗下的学习管理系统（LMS）；在这起被披露的数据事件中，Instructure 已确认受影响机构的用户个人信息遭曝光，但 ShinyHunters 所称的 3.65 TB 数据、约 2.75 亿人和近 9000 家教育机构，目前仍是攻击者说法，不是 Instructure 公布的确认数字 [3][
4][
15]。
先分清：已确认、已报道、仍待核实
| 关注点 | 目前公开状态 |
|---|---|
| 被提到的数据 | 姓名、电子邮箱、学生 ID 编号，以及 Canvas 用户之间的消息 [ |
| 暂未发现涉及的数据 | 报道援引 Instructure 称，目前没有迹象显示密码、出生日期、政府身份标识或财务信息受影响 [ |
| 事件规模 | ShinyHunters 声称掌握 3.65 TB 数据，涉及近 9000 家教育机构、约 2.75 亿名学生、教师和工作人员；SecurityWeek 指出，Instructure 尚未公布受影响用户或机构数量 [ |
这个区别很关键：数据类别主要来自 Instructure 的公开说法及多家报道；2.75 亿这一规模，则来自 ShinyHunters 的单方面主张，尚未得到 Instructure 或独立调查确认 [4][
15]。
目前被列为受影响的信息
公开信息显示，受影响的主要是识别类信息和平台内通信内容。BleepingComputer 报道称，Instructure 将相关信息描述为受影响机构用户的姓名、电子邮箱、学生 ID 编号，以及用户之间的消息 [4]。其他报道也提到相同的核心范围 [
5][
6]。
按目前公开口径，主要包括：
哪些信息目前不被认为受影响
SecurityPointBreak 援引 Instructure 称，公司目前没有发现密码、出生日期、政府身份标识或财务信息被涉及的证据 [6]。daily.dev 对现有说法的概括也类似：截至目前，密码、财务数据和政府身份标识不在已披露的影响范围内 [
11]。
不过，这并不等于事件已经有了最终结论。Instructure 的表述出现在调查仍在进行的背景下，多家报道也指出，对事件的核查还在继续 [3][
4]。
2.75 亿人到底能不能信？
现阶段，这个数字只能理解为未确认的攻击者说法。ShinyHunters 声称窃取了 3.65 TB 数据，并称数据可能涉及近 9000 家教育机构中的约 2.75 亿名学生、教师和其他工作人员 [6][
14][
15]。
但 SecurityWeek 明确报道，Instructure 没有公布有多少机构和用户受到影响 [15]。因此，在 Instructure 或可信的独立调查确认之前，2.75 亿不应被当作实际受影响人数来引用。
为什么没有密码也不能掉以轻心
即便目前没有公开证据显示密码或财务信息外泄，姓名、邮箱、学生 ID 和平台消息仍然有风险。邮箱是直接联系渠道；学生 ID 可能让对方更像“校方”或“课程相关人员”；用户之间的消息还可能包含课程、学校或沟通背景，让钓鱼邮件、冒充通知和账号核验请求更具迷惑性 [4][
6][
9]。
因此，如果你使用 Canvas，近期应特别留意声称来自学校、学院、课程管理员或 IT 部门的异常邮件和站内消息。访问 Canvas 时，尽量通过学校官网、已保存的书签或本机构提供的正式入口，不要直接点击陌生邮件中的链接。
Canvas 用户现在可以怎么做
是否轮到某个具体账户或某所学校受影响，目前不能仅凭公开流传的总数判断。Instructure 的公开说法是“受影响机构”的用户信息遭曝光，而具体机构数量和用户数量尚未由其披露 [4][
15]。
更稳妥的做法是：
- 关注自己学校、高校、培训机构或 IT 部门的正式通知。
- 对要求“立即验证账户”“重新登录”“重置资料”的邮件保持谨慎，尤其不要通过邮件内嵌链接操作。
- 如果收到账号变更要求，先从学校官网、官方 Canvas 入口或已知 IT 支持渠道核实。
- 如果本机构要求改密，或你在其他网站也使用了相同密码，应优先更换；但按目前公开信息，密码尚未被列为受影响数据 [
6][
11]。
结论
目前较可靠的说法是：Instructure/Canvas 相关数据事件确有用户信息遭曝光，公开提到的类别包括姓名、电子邮箱、学生 ID 编号和用户之间的消息 [4][
6]。但 ShinyHunters 所称 3.65 TB、约 2.75 亿人、近 9000 家机构的规模仍未被 Instructure 确认；在官方或独立调查给出更明确结果前，这些数字应继续被视为未证实主张 [
6][
15]。
