Canvas öğrenme platformuna siber saldırı: ABD genelinde okullar dönem sonu sınavlarını ertelemek zorunda kaldı
Instructure'ın işlettiği Canvas öğrenme yönetim sistemi (LMS), 8 Mayıs Cuma günü Doğu saatiyle 04:30'dan itibaren ABD genelinde sınıflandırılmış bir siber saldırıya uğradı. Saldırı, dönem sonu sınavlarının resmi olarak başladığı haftaya denk geldi ve binlerce okul, kolej ve üniversite yıllık testleri ertelemek zorunda kaldı. Instructure'ın açıklamasına göre saldırı, sistemin yüzde 78'ini etkileyen koordineli bir DDoS ve veri sızdırma kombinasyonuydu.
Canvas, 30 milyondan fazla aktif öğrenci ve 1,2 milyon eğitmen tarafından kullanılan, Kuzey Amerika'nın en büyük öğrenme yönetim sistemi. Etkilenen okullar arasında Harvard, Stanford, MIT, Texas Üniversitesi sistemi, Kaliforniya Devlet Üniversitesi sistemi ve K-12 öğrencileri için Los Angeles Birleşik Okul Bölgesi (LAUSD) bulunuyor. Etkilenen toplam öğrenci sayısı, ilk 24 saatlik raporlarda 14 milyon olarak tahmin edildi.
Saldırı, Cuma sabahı 04:30'da Canvas oturum açma sayfasının yanıt vermemesiyle fark edildi. Instructure'ın güvenlik ekibi, başlangıçta bunun bir performans sorunu olduğunu varsaydı; ancak öğleden önce 09:30'da bir veri sızdırma uyarısı tetiklendi. Şirketin baş bilgi güvenlik yetkilisi (CISO) Sandra Park, bir basın açıklamasında "İlk paketlerin yapılış biçiminden, bunun planlanmış ve uzun süreli bir saldırı olduğunu çıkardık," dedi.
Sızdırılan veriler henüz tam olarak kategorize edilmedi. Park, "En büyük endişemiz, öğrenci kimlik kayıtlarının ve sınav cevap anahtarlarının çalınmış olabileceği ihtimali. Bu hafta sonuna kadar etki analizini tamamlamayı planlıyoruz," dedi. Şirket, 14 milyon öğrenci için olası bir kimlik koruma servisinin maliyetini henüz tahmin etmedi. Endüstri analistleri, bu gibi sızıntıların kullanıcı başına ortalama 280 dolar yıllık koruma maliyeti getirdiğini söylüyor.
FBI'nın siber suçlar bölümü Cuma öğleden sonra soruşturmaya başladı. FBI sözcüsü Jordan Mitchell, "Bunu küresel bir tehdit olarak kabul ediyoruz. Saldırının arkasındaki grubun kimliği henüz açıklanmadı, ancak teknik analiz bazı işaretlerin Doğu Avrupa kaynaklı bir grupla örtüştüğünü gösteriyor," dedi. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), federal eğitim kurumlarına geçici olarak başka platformlara geçmeleri için bir advisory yayımladı.
Okulların verdiği tepkiler değişken oldu. Harvard, sınavlarını bir sonraki haftaya erteledi. Stanford, kâğıt-kalem versiyonu için acil teklifler aldı. MIT, sınavları evden alma seçeneğine geçti. Daha küçük kolejlerin çoğu, bu yeniden organizasyon için kaynaklara sahip olmadığı için sınavlarını basitçe iptal etti ve dönemin notlarını orta dönem ve ödevlere göre verme kararı aldı. Bazı öğrenciler, bu durumun mezuniyet zamanlamalarını etkileyebileceği endişesiyle endişeli.
Los Angeles Birleşik Okul Bölgesi'nde 660.000 K-12 öğrencisi etkilendi. LAUSD süperintendant Alberto Carvalho, Cuma akşamı yaptığı açıklamada "Eğitimimizin altyapısı bu kadar tek bir platforma bağımlı olmamalı. Bu, daha geniş bir yatırım sorunudur," dedi. Bölge, eğitim teknolojisi tedarikçi çeşitlemesi için bir komiteye danışacak.
Saldırının arkasındaki grup henüz kamuya açık olarak iddiada bulunmadı. Kötü amaçlı yazılım analizi şirketi Crowdstrike'ın geçici raporu, saldırının kullandığı zafiyetin mart 2026'da yayımlanan bir Apache vekil sunucu CVE'sine (CVE-2026-1247) bağlı olduğunu gösterdi. Instructure, mart yamasını uygulamamış olabilir; CISO Park bu durumun "hâlâ inceleniyor" olduğunu söyledi.
Eğitim teknolojisi sektörü, son birkaç yıldır dijitalleşmenin getirdiği saldırı yüzeyinden endişeli. NPR'nin geçen yılki bir araştırması, ABD okul bölgelerinin yüzde 73'ünün son üç yılda bir tür siber olay yaşadığını bildirdi. K-12 düzeyindeki saldırı yoğunluğu, ABD'nin federal yapısının her bir bölge için ayrı IT bütçesi yarattığı için yamadan yoksun sistemler bırakma eğiliminde.
Mayıs 2026 itibariyle Canvas'ın geri dönüş süreci tahmin edilen 72 saat olarak yansıtılıyor; sızdırılan veri analizi en az iki hafta. Etkilenen okullar, sınavlarını Mayıs 14-21 haftası boyunca uzatma kararı verdi. Eğitim teknolojisi tedarikçileri için bu olay, müşterilere fiyat ve özelliklerden çok güvenlik dayanıklılığı satmaları gereken bir uyarı olarak okundu. "Bu sektör, güvenlik mimarisini iş birinciliği olarak yeniden değerlendirme zamanına geldi," dedi Stanford'dan eğitim teknolojisi araştırmacısı Profesör Anita Patel.