Kebocoran Data Instructure Canvas oleh ShinyHunters

Kebocoran Canvas, platform pembelajaran (LMS) milik Instructure, terdeteksi pada 29 April 2026 dan diklaim kelompok ShinyHunters. Instructure menyebut nama pengguna, email, data pendaftaran kursus, dan pesan antarpengguna termasuk data yang terlibat, lalu mencapai kesepakatan dengan pelaku pada 11 Mei 2026. Kasus ini memperlihatkan betapa satu penyedia SaaS pendidikan dapat menjadi titik kegagalan bagi ribuan institusi.

Apa yang Terjadi pada Canvas

Menurut firma hukum Reed Smith, Canvas dipakai lebih dari 8.000 institusi di seluruh dunia dengan lebih dari 30 juta pengguna aktif. Instructure menyatakan mendeteksi aktivitas tidak sah di Canvas pada 29 April 2026 dan langsung mencabut akses pelaku. Menurut kronologi Reed Smith, pelanggan diberi tahu pada 1 Mei, dan pada 2 Mei Instructure menyatakan insiden telah dikendalikan.

Pada 3 Mei, surat tebusan ShinyHunters dengan tenggat 6 Mei beredar di situs pemantau ransomware. Pada 6 Mei Instructure menyebut masalah "resolved", tetapi pada 7 Mei pelaku yang sama memperoleh akses tambahan lewat kerentanan kedua di Canvas dan mengubah halaman yang dilihat sebagian siswa dan pengajar, saat musim ujian akhir di Amerika Serikat. Canvas sempat dimatikan sementara. Instructure menyatakan serangan kedua itu terdeteksi dan dihentikan sekitar 10 menit setelah dimulai, tanpa data tambahan yang diakses. Canvas dinyatakan beroperasi penuh kembali pada 8 sampai 9 Mei.

Kronologi Ringkas

• Akhir April 2026: akses tidak sah ke Canvas; Instructure mendeteksi dan mencabut akses pada 29 April.
• 1 Mei: pengumuman insiden. 2 Mei: dinyatakan terkendali.
• 3 Mei: surat tebusan ShinyHunters beredar.
• 7 Mei: serangan kedua mengubah halaman Canvas dan layanan sempat dimatikan.
• 11 Mei: Instructure mengumumkan kesepakatan dengan pelaku; data dikembalikan dan bukti pemusnahan diberikan.
• 28 Juni: Instructure memperkenalkan fitur penunjukan kontak keamanan bagi institusi.
• 29 September 2026: Instructure menyatakan tinjauan forensik atas data selesai dan pengiriman data kepada institusi terdampak yang tersisa sedang berjalan.

Dampak: Klaim Pelaku Versus Konfirmasi Instructure

Penting memisahkan apa yang diklaim dan apa yang dikonfirmasi.

Diklaim ShinyHunters (belum terverifikasi): data 275 juta orang, sebesar 3,65 TB, dari hampir 9.000 sekolah.

Disampaikan Instructure: surat CEO Instructure pada 8 Mei menyebut data yang terlibat mencakup nama pengguna, alamat email, nama kursus, informasi pendaftaran, dan pesan. Menurut rangkuman Reed Smith, Instructure juga mengonfirmasi nomor induk siswa termasuk di dalamnya, dan menyatakan tidak ada bukti kata sandi, tanggal lahir, identitas pemerintah, atau data keuangan yang terlibat. Instructure menyebut data pembelajaran inti (materi kursus, pengumpulan tugas, dan kredensial) tidak terkompromi, serta tidak menemukan bukti produk lain terdampak.

TechCrunch melaporkan data lebih dari 30 juta mahasiswa dan staf dicuri. Instructure sendiri belum memublikasikan jumlah total orang terdampak.

Atribusi dan Tebusan

ShinyHunters mengklaim serangan ini, sedangkan Instructure hanya menyebut pelakunya sebagai organisasi kriminal siber. TechCrunch menggambarkan kelompok tersebut dalam kampanye 2026 yang lebih luas sebagai pelaku yang kerap memakai voice phishing, yakni berpura-pura menjadi staf TI untuk mendapatkan akses; namun laporan itu tidak menyatakan metode tersebut dipakai terhadap Instructure. Soal akses awal, Instructure menyatakan pelaku dalam kedua insiden memakai salah satu akun Free-For-Teacher, dan surat CEO-nya menyebut ada kerentanan terkait tiket dukungan di lingkungan Free for Teacher yang dieksploitasi. Reed Smith menggambarkan serangan pertama sebagai eksploitasi kerentanan pada sistem produksi Instructure. Layanan Free-For-Teacher kemudian dihentikan secara permanen.

Instructure menyatakan data dikembalikan, ada bukti digital pemusnahan (shred logs), dan ia diberi tahu bahwa tidak ada pelanggan yang akan diperas. TechCrunch melaporkan Instructure akhirnya membayar tebusan meskipun FBI berupaya mencegahnya; besaran pembayarannya tidak diumumkan. Reed Smith mengingatkan bahwa kesepakatan dengan kelompok kriminal tidak dapat ditegakkan, pemusnahan data tidak dapat diverifikasi secara independen, dan afiliasi lain mungkin tidak terikat.

Pelajaran dan Langkah Defensif

• SaaS pendidikan adalah titik kegagalan tunggal. Satu insiden di vendor memengaruhi ribuan institusi sekaligus. Masukkan vendor LMS dalam penilaian risiko pihak ketiga dan tinjau klausul pemberitahuan insiden di kontrak.
• Membayar tidak menjamin penghapusan data. Rencanakan seolah data mungkin tetap beredar: pantau penyalahgunaan dan siapkan komunikasi ke pengguna.
• Waspadai serangan kedua selama negosiasi. Pada kasus ini, serangan lanjutan terjadi pada 7 Mei sebelum kesepakatan. Tim insiden perlu tetap memantau setelah status "terkendali".
• Kurangi data yang disimpan di platform. Pesan pribadi dan data lama yang tidak diperlukan memperbesar dampak kebocoran.
• Siapkan prosedur insiden. Pelajari tahapannya di incident response dan latih kontak keamanan di institusi Anda.
• Edukasi pengguna soal phishing. Data nama, email, dan isi pesan sangat berguna untuk phishing yang terlihat meyakinkan. Rujuk cara mengenali phishing dan cara mengecek kebocoran data pribadi.

Relevansi bagi Institusi di Indonesia

Sumber resmi yang tersedia tidak merinci institusi terdampak per negara, termasuk Indonesia. Meski begitu, pelajarannya berlaku bagi kampus, sekolah, dan perusahaan pelatihan yang memakai LMS berbasis SaaS. Jika data pengguna Indonesia terlibat dalam insiden serupa, penyelenggara sistem elektronik perlu memperhatikan kewajiban pelindungan data; bacaan pendamping kami, UU PDP dan kewajiban pelindungan data pribadi, menjelaskan kerangkanya.

Langkah untuk Pengguna dan Administrator LMS

Bagi administrator, tinjau integrasi pihak ketiga yang terhubung ke LMS, rapikan akun dan izin yang tidak dipakai, dan pastikan ada kontak keamanan yang tercatat di sisi vendor agar pemberitahuan insiden sampai ke orang yang tepat. Instructure sendiri menambahkan fitur penunjukan hingga dua kontak keamanan di pengaturan akun Canvas setelah insiden ini. Bagi pengguna, anggap isi pesan lama di platform sebagai informasi yang mungkin pernah terpapar: jangan menyimpan data sensitif di kolom pesan, dan berhati-hatilah dengan email yang menyebut nama dosen, mata kuliah, atau tugas Anda secara spesifik.

Baca juga: Klarifikasi BSSN soal Viral Data Pribadi Menkomdigi dan Pelajarannya.

Pertanyaan yang Sering Diajukan

Apakah kata sandi Canvas bocor?

Menurut rangkuman Reed Smith, Instructure menyatakan tidak ada bukti kata sandi, tanggal lahir, identitas pemerintah, atau data keuangan yang terlibat, dan Instructure menyebut kredensial tidak terkompromi. Tetap ganti kata sandi bila Anda memakai kata sandi yang sama di tempat lain.

Apakah klaim 275 juta orang benar?

Itu klaim ShinyHunters dan tidak terverifikasi. Menurut Reed Smith, Canvas memiliki lebih dari 30 juta pengguna aktif, dan cakupan penuh insiden belum terverifikasi secara independen.

Apa yang sebaiknya dilakukan pengguna LMS?

Aktifkan autentikasi dua faktor di akun terkait, waspadai email atau pesan yang mengaku dari kampus atau penyedia LMS, dan jangan membuka tautan tanpa memverifikasi pengirimnya.

Kesimpulan

Kebocoran Canvas memperlihatkan dua hal: ketergantungan pada satu vendor SaaS menyatukan risiko ribuan institusi, dan kesepakatan dengan pelaku tidak memberi jaminan yang dapat diverifikasi. Periksa kontrak vendor, minimalkan data, dan siapkan rencana insiden sebelum kejadian. Untuk membantu tim Anda menyusun dan menguji rencana tersebut, Linuxhackingid menyediakan training keamanan siber untuk institusi pendidikan dan perusahaan.