Canvas LMS 資料外洩事件最需要分清楚兩件事：Instructure 已確認受影響機構的使用者個人資料外露；但外界最關注的「約 2.75 億人」數字，來自 ShinyHunters 的說法，並非 Instructure 目前公布的官方受影響人數 [4][
15]。
Canvas 是許多學校、大學與教育機構使用的學習管理系統（LMS，Learning Management System）。因此，這起事件對使用者真正重要的問題不是只看最大數字，而是：哪些資料已被公開提到？哪些資料目前未被證實外洩？以及如果自己所在機構使用 Canvas，現在該注意什麼。
目前可分成三類資訊
| 問題 | 目前公開狀態 |
|---|---|
| 已提到的受影響資料 | 姓名、電子郵件地址、學生 ID 號碼，以及 Canvas 使用者之間的訊息 [ |
| 目前未見受影響跡象的資料 | 報導引述 Instructure 稱，目前沒有證據顯示密碼、出生日期、政府識別碼或財務資訊受影響 [ |
| 可能規模 | ShinyHunters 宣稱掌握 3.65 TB 資料，涉及近 9,000 所教育機構與約 2.75 億名學生、教師及其他人員；但 Instructure 尚未公布自己的受影響使用者或機構數字 [ |
換句話說，資料類型主要來自 Instructure 的更新與多家報導；2.75 億人則仍屬於攻擊者宣稱，尚未獲官方或獨立調查確認 [4][
15]。
哪些資料被提到外露？
目前公開資訊顯示，受影響的主要是識別與通訊相關資料。BleepingComputer 報導，Instructure 表示目前跡象顯示，涉及的資訊包括受影響機構使用者的姓名、電子郵件地址、學生 ID 號碼，以及使用者之間的訊息 [4]。其他報導也提到相同的核心範圍 [
5][
6]。
目前被點名的資料類別包括：
這些資料看起來未必像信用卡號碼那樣直接涉及金錢損失，但仍可能被用來製作更有說服力的詐騙或釣魚訊息。
哪些資料目前沒有證據顯示受影響？
SecurityPointBreak 報導，Instructure 表示目前尚未發現密碼、出生日期、政府識別碼或財務資訊受影響的證據 [6]。Daily.dev 的整理也相近：依目前說法，密碼、財務資料與政府識別碼尚未被列為涉及範圍 [
11]。
不過，這不等於事件已經有最終結論。Instructure 的說法是在調查仍在進行的背景下提出；多篇報導也指出，事件調查仍未結束 [3][
4]。因此，使用者仍應以自己學校、院校或機構後續通知為準。
「2.75 億人受影響」為何不能直接當成確定數字？
這起事件中最醒目的說法，是 ShinyHunters 宣稱竊得 3.65 TB 資料，並稱可能涉及近 9,000 所教育機構、約 2.75 億名學生、教師與其他人員 [6][
14][
15]。
但這些數字目前應視為攻擊者單方面宣稱。SecurityWeek 明確報導，Instructure 尚未分享有多少機構與使用者受到影響的細節 [15]。在 Instructure 或獨立調查確認之前，「2.75 億人」不能被當成可靠的官方受害人數。
對一般使用者來說，這個差別很重要：公開流傳的巨大總數，不能直接推論你的帳號、班級或學校一定受影響；是否受影響，仍要看 Instructure 與各機構的通知 [4][
15]。
即使沒有密碼外洩，這些資料仍然敏感
姓名、電子郵件地址、學生 ID 與站內訊息可以被組合使用。電子郵件讓攻擊者有直接聯絡管道；學生 ID 可能讓訊息看起來更像來自校方或課程系統；而使用者之間的訊息若含有課程、作業或校務脈絡，可能讓釣魚郵件更像真實通知 [4][
6][
9]。
因此，如果你使用 Canvas，應特別留意以下情況：
- 要求你「立即驗證帳號」或「重新登入」的陌生郵件。
- 聲稱來自學校、課程、教師或 IT 部門，但連結網址可疑的訊息。
- 要求輸入密碼、多因素驗證碼、個人證件資料或付款資訊的頁面。
最穩妥的做法，是透過平常使用的書籤、學校入口網站或官方 Canvas 網址登入，不要直接點擊來路不明訊息中的連結。
Canvas 使用者現在可以怎麼做？
如果你的學校、大學或組織使用 Canvas，首先應查看自己機構的公告。由於 Instructure 目前只籠統提到受影響機構的使用者，公開數字並不能讓個別使用者判斷自己的帳號是否一定受影響 [4][
15]。
建議採取以下步驟：
- 留意學校、院校、公司或 IT 部門的正式通知。
- 不要透過可疑郵件或訊息中的連結登入帳號。
- 若收到帳號重設或資料確認要求，請改從官方入口網站自行進入確認。
- 若你的機構要求更改密碼，應優先配合；若你在其他網站也使用相同密碼，也應更換。依目前報導，密碼尚未被列為已受影響資料 [
6][
11]。
- 對看似熟悉課程、班級或校務背景的訊息保持警覺，因為部分通訊資料可能提供攻擊者更多上下文 [
4][
6]。
結論
目前較確定的是：Instructure／Canvas 發生資料外洩事件，公開說法提到的資料包括姓名、電子郵件地址、學生 ID 號碼與使用者之間的訊息 [4][
6]。目前未被官方確認的是 ShinyHunters 宣稱的整體規模：3.65 TB、約 2.75 億人與近 9,000 所教育機構 [
6][
15]。
在更多調查結果公布前，最實際的判斷方式不是只看最大數字，而是留意自己所屬機構的正式通知，並提高對釣魚郵件與假登入頁面的警覺。
