Vzdělávací firma zaplatila hackerům za vrácení dat 280 milionů uživatelů — navzdory varování FBI

Společnost Instructure, provozovatel oblíbeného vzdělávacího systému Canvas, se ocitla v centru jednoho z největších kybernetických útoků v historii edtech sektoru. Hackerská skupina ShinyHunters provedla v průběhu letošního roku již druhý průnik do jejích systémů a odcizila stovky gigabajtů dat. Tentokrát šlo o citlivé informace přibližně 280 milionů uživatelů — učitelů, studentů i školního personálu — včetně jmen, e-mailových adres a soukromých zpráv.

Skupina ShinyHunters stanovila deadline na 12. května 2026: pokud firma do té doby nenavázala kontakt, hrozila zveřejněním veškerých odcizených dat. Instructure nakonec s hackery uzavřela dohodu, jejíž přesné podmínky dosud nebyly zveřejněny. Firma nicméně uvedla, že získala zpět ukradená data a obdržela digitální potvrzení o jejich zničení v podobě takzvaných „shred logs“. ShinyHunters navíc přislíbily, že žádný zákazník Instructure nebude v souvislosti s incidentem vydírán, a to ani veřejně, ani soukromě.

Rozhodnutí firmy jednat s kyberzločinci je přinejmenším kontroverzní. FBI dlouhodobě nedoporučuje platit výkupné v případě ransomwarových útoků, protože takový postup motivuje hackery k dalším útokům a nezaručuje skutečné vymazání dat. Právě v reakci na kauzu Canvas americká FBI na sociální síti X veřejně varovala: pokud vás kdokoliv kontaktuje s tvrzením, že vlastní vaše data, neposílejte peníze a nereagujte na jejich požadavky. Instructure toto doporučení zjevně ignorovala.

ShinyHunters nejsou žádní nováčci na scéně kyberkriminality. Stejná skupina se v posledních měsících přihlásila k útoku na cloudové servery Nvidie, kde podle jejich vlastních slov stáhla celou databázi ze zázemí systému GeForce Now. Kromě toho požadovala výkupné po herním studiu Rockstar, vývojáři slavné série Grand Theft Auto — studio ale odmítlo zaplatit, a když hackeři nakonec ukradená data zveřejnili, ukázalo se, že jejich obsah byl v porovnání s hrozbami velmi omezený.

Případ Instructure tak otevírá zásadní otázku: co je větší riziko — vyhovět hackerům a riskovat, že se stanou terčem znovu, nebo odmítnout spolupráci a vystavit miliony uživatelů úniku jejich soukromých údajů? Firma prozatím slíbila, že podrobnosti o incidentu i o opatřeních přijatých k posílení bezpečnosti systému představí na připravovaném webináři. Klíčová otázka, zda a kolik peněz bylo zaplaceno, ale stále zůstává bez odpovědi.

Incident přichází v době, kdy jsou vzdělávací instituce stále častějším terčem hackerů. Obrovské databáze studentů a pedagogů představují pro kyberzločince lákavý cíl — tato data mají na černém trhu vysokou hodnotu a školy ani vzdělávací platformy zpravidla nedisponují tak robustní kybernetickou ochranou jako velké korporace.

FAQ

Kdo jsou ShinyHunters a čím jsou známí? ShinyHunters je notoricky známá hackerská skupina, která v posledních letech provedla útoky na desítky velkých společností po celém světě. Kromě Instructure zaútočili například na Nvidii nebo se pokusili vydírat herní studio Rockstar.

Proč FBI nedoporučuje platit hackerům výkupné? FBI platbu výkupného nedoporučuje proto, že financuje další trestnou činnost a vůbec nezaručuje, že ukradená data budou skutečně vymazána nebo nebudou zneužita v budoucnu. Navíc firmy, které zaplatily, se nezřídka stávají opakovaným terčem útoku.

Jaká data byla při útoku na Canvas odcizena? Při útoku bylo ohroženo přibližně 280 milionů uživatelských záznamů obsahujících jména, e-mailové adresy a soukromé zprávy — tedy velmi citlivé osobní údaje učitelů, studentů a dalšího školního personálu.