Canvas LMS 数据泄露：哪些信息受影响，为什么 2.75 亿仍待确认

这个区别很关键：数据类别主要来自 Instructure 的公开说法及多家报道；2.75 亿这一规模，则来自 ShinyHunters 的单方面主张，尚未得到 Instructure 或独立调查确认 。

目前被列为受影响的信息

公开信息显示，受影响的主要是识别类信息和平台内通信内容。BleepingComputer 报道称，Instructure 将相关信息描述为受影响机构用户的姓名、电子邮箱、学生 ID 编号，以及用户之间的消息 。其他报道也提到相同的核心范围 。

按目前公开口径，主要包括：

• 用户姓名
• 电子邮箱地址
• 学生 ID 编号
• Canvas 用户之间的消息

哪些信息目前不被认为受影响

SecurityPointBreak 援引 Instructure 称，公司目前没有发现密码、出生日期、政府身份标识或财务信息被涉及的证据 。daily.dev 对现有说法的概括也类似：截至目前，密码、财务数据和政府身份标识不在已披露的影响范围内 。

不过，这并不等于事件已经有了最终结论。Instructure 的表述出现在调查仍在进行的背景下，多家报道也指出，对事件的核查还在继续 。

2.75 亿人到底能不能信？

现阶段，这个数字只能理解为未确认的攻击者说法。ShinyHunters 声称窃取了 3.65 TB 数据，并称数据可能涉及近 9000 家教育机构中的约 2.75 亿名学生、教师和其他工作人员 。

但 SecurityWeek 明确报道，Instructure 没有公布有多少机构和用户受到影响 。因此，在 Instructure 或可信的独立调查确认之前，2.75 亿不应被当作实际受影响人数来引用。

为什么没有密码也不能掉以轻心

即便目前没有公开证据显示密码或财务信息外泄，姓名、邮箱、学生 ID 和平台消息仍然有风险。邮箱是直接联系渠道；学生 ID 可能让对方更像“校方”或“课程相关人员”；用户之间的消息还可能包含课程、学校或沟通背景，让钓鱼邮件、冒充通知和账号核验请求更具迷惑性 。

因此，如果你使用 Canvas，近期应特别留意声称来自学校、学院、课程管理员或 IT 部门的异常邮件和站内消息。访问 Canvas 时，尽量通过学校官网、已保存的书签或本机构提供的正式入口，不要直接点击陌生邮件中的链接。

Canvas 用户现在可以怎么做

是否轮到某个具体账户或某所学校受影响，目前不能仅凭公开流传的总数判断。Instructure 的公开说法是“受影响机构”的用户信息遭曝光，而具体机构数量和用户数量尚未由其披露 。

更稳妥的做法是：

• 关注自己学校、高校、培训机构或 IT 部门的正式通知。
• 对要求“立即验证账户”“重新登录”“重置资料”的邮件保持谨慎，尤其不要通过邮件内嵌链接操作。
• 如果收到账号变更要求，先从学校官网、官方 Canvas 入口或已知 IT 支持渠道核实。
• 如果本机构要求改密，或你在其他网站也使用了相同密码，应优先更换；但按目前公开信息，密码尚未被列为受影响数据 。

结论

目前较可靠的说法是：Instructure/Canvas 相关数据事件确有用户信息遭曝光，公开提到的类别包括姓名、电子邮箱、学生 ID 编号和用户之间的消息 。但 ShinyHunters 所称 3.65 TB、约 2.75 亿人、近 9000 家机构的规模仍未被 Instructure 确认；在官方或独立调查给出更明确结果前，这些数字应继续被视为未证实主张 。