Ciberataque expõe dados de 275 milhões de usuários da plataforma Canvas

A empresa americana de tecnologia educacional Instructure, responsável pela plataforma de ensino Canvas, confirmou no dia 1º de maio de 2026 que foi alvo de um ataque cibernético de grandes proporções. Dois dias depois, o grupo criminoso ShinyHunters assumiu a autoria da invasão e publicou o nome da companhia em um portal de vazamentos na dark web, ameaçando divulgar os dados roubados caso não haja pagamento.

A Instructure é conhecida mundialmente pelo Canvas, um dos sistemas de gerenciamento de aprendizagem (LMS) mais utilizados por instituições de ensino, empresas e organizações públicas.

Como o ataque aconteceu

Segundo a empresa, os primeiros sinais do incidente foram identificados na tarde de 30 de abril, quando ferramentas que dependiam de chaves de API começaram a apresentar falhas e interrupções. Essas chaves funcionam como credenciais digitais que permitem a comunicação entre diferentes sistemas.

Na manhã seguinte, o diretor de segurança da informação da Instructure, Steve Proud, confirmou oficialmente o ataque e informou que especialistas externos em perícia digital foram contratados para conduzir a investigação.

Em comunicado divulgado no dia 2 de maio, a companhia afirmou ter adotado medidas emergenciais para conter os danos, incluindo a revogação de credenciais comprometidas, atualização de sistemas de segurança, troca de chaves de acesso e reforço no monitoramento das plataformas.

Volume de dados roubados preocupa especialistas

De acordo com o grupo ShinyHunters, cerca de 3,65 terabytes de dados foram extraídos durante a invasão. Os criminosos afirmam ter acesso a informações relacionadas a aproximadamente 275 milhões de usuários ligados a quase 9 mil escolas e mais de 15 mil instituições espalhadas pela América do Norte, Europa, Ásia e Oceania.

Os hackers também alegam ter comprometido a instância Salesforce utilizada pela Instructure, sistema empregado pela empresa para gerenciamento de relacionamento com clientes.

Universidades renomadas e empresas globais estariam entre os afetados

Levantamento realizado pela empresa de inteligência cibernética SOCRadar apontou possíveis instituições impactadas pelo vazamento. Entre elas estão universidades de prestígio internacional como Harvard University, Stanford University, Massachusetts Institute of Technology, Columbia University, Princeton University, Yale University e Pennsylvania State University.

Grandes redes públicas de ensino dos Estados Unidos também aparecem entre os possíveis atingidos, incluindo distritos escolares de Las Vegas, Broward County e Houston.

Instituições brasileiras também surgem na lista divulgada pelos analistas, ao lado de organizações do Reino Unido, Austrália, Holanda, Singapura e México. Além do setor educacional, empresas privadas como Amazon, Cisco, Apple, Disney, Goldman Sachs e Dell também teriam sido mencionadas, assim como órgãos do governo americano, incluindo o Departamento de Defesa e agências federais.

Entre as instituições brasileiras supostamente afetadas estão:
• ESPM;
• Escola Sagrada Família;
• EBAC;
• Faculdade Católica Paulista;
• Faculdade Cásper Líbero;
• Faculdade de Ciências Médicas de Minas Gerais;
• Faculdade de Direito de Vitória;
• Associação Brasileira de Bancos;
• Estácio de Sá;
• UNIP.

Histórico de ataques contra empresas de tecnologia educacional

Especialistas destacam que este não é o primeiro incidente envolvendo o grupo ShinyHunters e a Instructure. Em outubro de 2025, os criminosos já haviam invadido sistemas da empresa por meio de uma técnica conhecida como “vishing”, em que golpistas utilizam ligações telefônicas ou mensagens de voz para se passar por representantes legítimos e enganar funcionários.

Na ocasião, a Instructure informou que os dados do Canvas não haviam sido acessados. O ataque fazia parte de uma campanha mais ampla contra clientes da plataforma Salesforce, na qual, segundo investigações, cerca de 1,5 bilhão de registros teriam sido roubados de aproximadamente 760 organizações.

Usuários devem redobrar atenção

Especialistas em segurança alertam que o principal risco imediato para usuários afetados é o aumento de golpes de phishing. Com acesso a nomes, e-mails institucionais, IDs de estudantes e informações de contexto, criminosos conseguem criar mensagens falsas extremamente convincentes.

Os golpes podem se passar por comunicados oficiais de professores, administradores ou colegas, utilizando temas ligados ao próprio ataque, cobranças financeiras ou solicitações urgentes para induzir vítimas a clicarem em links maliciosos.

A orientação é evitar clicar em links recebidos por e-mail relacionados ao Canvas e acessar a plataforma apenas diretamente pelo navegador.

Também é recomendado trocar imediatamente a senha da conta, revisar sessões ativas e verificar integrações OAuth desconhecidas conectadas ao perfil. Aplicativos não reconhecidos devem ser removidos o quanto antes para reduzir riscos de acesso indevido.