교육 플랫폼 캔버스가 뚫렸다, 9000개 기관과 2억7500만 명 위협한 ShinyHunters

Canvas 로그인 페이지가 협박장으로 바뀜

• 미국 전역 학교와 대학에서 쓰는 교육 플랫폼 Canvas가 데이터 협박 공격으로 중단됨

  • 공격자는 Canvas 로그인 페이지를 랜섬 요구 메시지로 바꿔버림
  • 메시지에는 약 9000개 교육기관, 학생과 교직원 2억7500만 명의 데이터를 유출하겠다는 위협이 담김

• Canvas 운영사 Instructure는 서비스를 내리고 포털에 “예약된 점검 중”이라는 메시지를 띄움

  • Canvas는 수업 자료, 과제, 학생 커뮤니케이션을 관리하는 플랫폼임
  • 기말고사 기간에 터진 장애라 학교 입장에서는 타이밍이 최악이었음

유출된 데이터와 공격자 주장

• Instructure는 앞서 데이터 침해를 인정했고, 유출 정보 범위를 일부 설명함

  • affected institutions의 사용자 이름, 이메일 주소, 학생 ID 번호, 사용자 간 메시지 등이 포함됐다고 밝힘
  • 비밀번호, 생년월일, 정부 식별번호, 금융정보 같은 더 민감한 정보가 포함됐다는 증거는 없다고 함

• 공격 그룹 ShinyHunters의 주장은 훨씬 공격적임

  • 수천만 명 학생과 교직원 데이터를 들고 있다고 주장함
  • 학생과 교사 사이의 비공개 메시지 수십억 건, 이름, 전화번호, 이메일 주소가 포함됐다고 주장함

• 협박 메시지는 Instructure만이 아니라 각 학교에도 돈을 내라고 압박함

  • “Instructure가 지불하든 말든, 데이터 공개를 막고 싶으면 각 학교가 직접 협상하라”는 식의 메시지였음
  • 조사에 가까운 소식통은 이미 여러 대학이 공격자에게 접촉했다고 전함

“침해는 끝났다” 다음 날 벌어진 공개 시위

• Instructure는 5월 6일 기준으로 사건이 통제됐다고 봤음

  • 당시 업데이트에서는 Canvas가 정상 운영 중이고, 플랫폼에서 진행 중인 무단 활동은 보이지 않는다고 설명함
  • 그런데 5월 7일 낮부터 학생과 교직원들이 소셜미디어에 로그인 페이지 협박 메시지를 올리기 시작함

• 보안업체 Cloudskope의 Dipan Mann은 이 대응을 강하게 비판함

  • ShinyHunters가 5월 1일 침해를 입증했고, 5월 2일 Instructure CISO가 사건이 통제됐다고 봤다는 흐름을 지적함
  • Mann은 이번 일이 지난 8개월 동안 ShinyHunters가 Instructure를 침해한 최소 세 번째 사례라고 주장함

• Mann은 2025년 9월 펜실베이니아대 침해도 Instructure 경로와 연결해 봄

  • 당시 ShinyHunters는 기부자 기록, 내부 메모 등 수천 개 파일을 공개함
  • 2026년 3월 5일에는 Penn에서 훔친 461MB 데이터를 공개했고, 그 전에는 100만 달러 랜섬 요구가 있었다고 함

ShinyHunters는 어떤 그룹인가

• ShinyHunters는 데이터 탈취와 협박을 전문으로 하는 사이버 범죄 그룹임

  • 보통 음성 피싱(voice phishing)과 사회공학으로 직원 계정이나 신뢰 관계를 뚫는 방식이 자주 언급됨
  • IT 담당자나 내부자로 가장해 접근권을 빼내는 패턴이 많음

• 최근 사례도 만만치 않음

  • ADT에서는 550만 명 고객 개인정보를 탈취한 것으로 보도됨
  • 당시 공격자는 직원의 Okta 단일 로그인 계정을 음성 피싱으로 장악했고, 이를 통해 ADT의 Salesforce 인스턴스에 접근했다고 주장함
  • Medtronic, Rockstar Games, McGraw Hill, 7-Eleven, Carnival 같은 이름도 최근 협박 공격 대상으로 언급됨

• Google 소유 Mandiant Consulting의 CTO Charles Carmakal도 ShinyHunters 활동이 동시에 여러 건 진행 중이라고 말함

  • Canvas 사건 자체에 대한 구체 코멘트는 피했지만, 여러 개의 독립적인 침입과 협박 캠페인이 동시에 벌어지고 있다고 설명함

업데이트에서 드러난 원인과 결말

• 5월 8일 Instructure는 추가 업데이트를 통해 Canvas 포털이 다시 정상 동작한다고 밝힘

  • 해커들이 Free-for-Teacher 계정 관련 이슈를 악용했다고 설명함
  • 이 문제는 그 전주 무단 접근을 일으킨 것과 같은 이슈라고 함
  • 결국 Free-for-Teacher 계정을 임시 중단하는 결정을 내림

• Instructure는 영향을 받은 조직에는 5월 6일 통지했다고 설명함

  • 확인되지 않은 제3자 목록이나 소셜미디어 게시물에 의존하지 말라고 안내함
  • 실제 affected organization은 Instructure가 직접 연락하겠다고 함

• 이 사건의 핵심은 교육 SaaS 하나가 뚫리면 수천 개 기관의 수업 운영과 개인정보 리스크가 동시에 흔들린다는 점임
  • 학교마다 보안팀 규모가 다르고, 공급업체를 깊게 감사하기 어려운 경우도 많음
  • 그래서 공급업체 사고를 ‘남의 일’로 보기 어렵고, 실제로는 고객 기관 전체의 운영 리스크가 됨

---

기술 맥락

• 이 사건에서 가장 큰 기술적 선택지는 교육기관이 직접 학습관리시스템을 운영하지 않고 Canvas 같은 SaaS에 맡기는 구조예요. 왜냐하면 수업, 과제, 메시지, 계정 관리를 한 플랫폼에서 처리하면 운영은 편하지만, 공급업체 하나가 뚫렸을 때 영향 범위가 크게 넓어지거든요.

• Instructure가 언급한 Free-for-Teacher 계정은 별도 제공 경로가 전체 보안 경계에 영향을 줄 수 있다는 점을 보여줘요. 무료 계정, 체험 계정, 외부 사용자 계정은 본 서비스와 다르게 관리되기 쉬워서 공격자가 우회로로 노릴 만해요.

• ShinyHunters가 자주 쓰는 음성 피싱도 중요한 맥락이에요. 기술 취약점 하나만 보는 게 아니라, 직원의 Okta 같은 단일 로그인 계정을 속여 빼앗고 그 권한으로 Salesforce나 SaaS 관리 영역에 들어가는 식의 공격이 반복되고 있어요.

• 고객 기관 입장에서는 공급업체가 “통제됐다”고 말하는지만 믿기 어려워요. 로그, 계정 경계, 무료 계정 정책, 고객별 데이터 분리, 사고 통지 절차를 계약과 감사 항목에서 확인해야 하는 이유가 여기에 있어요.

• 특히 학생 메시지와 식별 정보는 비밀번호보다 덜 민감해 보일 수 있지만, 실제로는 피싱과 사칭에 바로 쓰일 수 있어요. 그래서 이런 사고는 데이터베이스 유출 한 번이 아니라 이후 사회공학 공격의 재료가 되는 문제로 봐야 해요.