Canvas 學習平台經免費教師帳號 XSS 遭入侵，師生帳號與訊息外流、登入頁被植勒索訊息

Instructure 表示，攻擊者以免費教師（Free-for-Teacher）帳號送出含惡意程式碼的客服單，觸發 XSS 漏洞取得授權權杖並在 Canvas 取得較高權限，外流資料包括使用者名稱、Email、課程名稱、選課資訊與訊息 ^[1]。據 BleepingComputer 報導，ShinyHunters 宣稱影響 8,809 個教育機構、竊得 2.75 億筆師生紀錄，並在 5 月 7 日再次入侵後於登入頁張貼勒索訊息 ^[2][3]。Instructure 建議各機構啟用多因素驗證，並檢查 4 月 25 日至 30 日及 5 月 7 日是否有來自 Canvas 客服帳號、與自身客服單無關的存取 ^[1]。

使用 Canvas 的學校、大學與其師生；勒索訊息曾出現在約 300 個機構的頁面 ^[1][2]

1. 檢查 4 月 25 日至 30 日及 5 月 7 日的日誌，是否有與自身客服單無關的 Canvas 客服帳號存取 ^[1]。
2. 依 Instructure 建議啟用多因素驗證，SSO 機構由身分提供者強制套用 ^[1]。
3. 若 SIS 整合中斷，向 Instructure 取得輪替後的新憑證 。