275 مليون ضحية: خرق Instructure Canvas يصبح الأكبر في تاريخ التعليم

الرقم القياسي الذي لم يُرِدْه أحد

حين نشرت Instructure تحديثًا هادئًا في الأول من مايو 2026، وصفت فيه “حادثة أمن سيبراني” بلغة متحفظة لم تعكس حجم ما جرى فعلًا. بحلول الوقت الذي اتضح فيه النطاق الكامل، كان خرق Canvas قد تجاوز كل اختراق سابق في قطاع التعليم بفارق كبير: 275 مليون مستخدم، و8,809 مؤسسة، و3.65 تيرابايت من البيانات، ودفعة فدية أُتمّت قبل يوم واحد من الموعد النهائي للتسريب العلني.

للسياق، تُعدّ Canvas نظام إدارة التعلم الأكثر انتشارًا في التعليم العالي بأمريكا الشمالية، إذ تُستخدم في نحو 41 بالمئة من مؤسسات التعليم العالي الأمريكية وتخدم ما يزيد على 30 مليون مشارك نشط في أكثر من 8,000 مدرسة حول العالم. جعل هذا الهيمنةُ منها هدفًا بالغ القيمة: اختراق بيئة إنتاج واحدة يمكن أن يطال سجلات الطلاب من سنغافورة إلى السويد إلى ساو باولو، وهو بالضبط ما حدث.

لم يأتِ الاختراق عبر استغلال ثغرة صفرية في كود نواة غامض، بل جاء عبر إحدى أكثر النقاط انكشافًا هيكليًا في منصات SaaS الحديثة: الحسابات المجانية ضعيفة الحوكمة.

كيف اخترق ShinyHunters — مرتين

بدأ الاختراق الأولي الذي رصدته Instructure في 29 أبريل 2026 من ثغرة في البنية التحتية لحسابات Free-For-Teacher المجانية. هذه الحسابات — المصممة لمنح المعلمين الأفراد إمكانية تجريب Canvas خارج الاتفاقيات المؤسسية — تعمل برقابة أقل مقارنةً بالحسابات المرخصة للمؤسسات. وكثيرًا ما تُنشأ بعناوين بريد شخصية، ونادرًا ما تُطبَّق عليها المصادقة متعددة العوامل، وغالبًا ما تبقى نشطة بعد انتهاء المعلم من استخدامها.

وفقًا للتحليل القانوني لشركة Reed Smith للحادثة، تمكّن ShinyHunters من الوصول غير المصرح به إلى أنظمة Instructure الإنتاجية في 30 أبريل باستغلال هذه الثغرة. شملت البيانات المسروقة الأسماء وعناوين البريد الإلكتروني وأرقام هوية الطلاب وسجلات الالتحاق بالمقررات، وبصفة أشد خطورة، “الرسائل الخاصة بين الطلاب وأعضاء هيئة التدريس”، وهي فئة تحمل حساسية خاصة من حيث قانون FERPA.

ما جعل الحادثة أسوأ هيكليًا هو الاختراق الثاني. بعد إعلان Instructure السيطرة على الوضع في 2 مايو، عمد ShinyHunters إلى تشويه صفحات تسجيل الدخول في Canvas في نحو 330 مؤسسة في 7 مايو، مستغلًا نفس ثغرة حسابات Free-For-Teacher التي لم تُغلق بالكامل. وفُرض موعد فدية جديد في 12 مايو. نقل The Hacker News أن Instructure توصلت في 11 مايو — قبل يوم واحد من الموعد — إلى اتفاق مع المهاجمين، حصلت بموجبه على ما وصفته بـ”تأكيد رقمي لتدمير البيانات (سجلات الحذف)”.

لا يُعدّ ShinyHunters جهة جديدة؛ فقد سبق للمجموعة أن أعلنت مسؤوليتها عن اختراقات بارزة شملت كشف بيانات AT&T عام 2021 واختراق Snowflake المرتبط بـ Ticketmaster وبنك Santander عام 2024. عودتهم إلى البنية التحتية التعليمية في 2026 تشير إلى تحوّل متعمد نحو القطاعات التي تحوي كميات ضخمة من المعلومات الشخصية وتاريخ من ضعف الاستثمار الأمني.

التداعيات المؤسسية: قانونية وتنظيمية وسمعة

تحركت التداعيات القانونية للاختراق بسرعة. رُفعت دعوى جماعية في سان دييغو في 13 مايو 2026 — بعد يومين من دفع الفدية — تستند إلى الضرر الذي لحق بالطلاب الذين كُشفت رسائلهم الخاصة. في الأسبوع ذاته، طلب مكتب سياسة خصوصية الطلاب في وزارة التعليم الأمريكية رسميًا معلومات من Instructure لضمان الامتثال لـ FERPA، وأصدر خطابًا متابعًا بشأن FERPA في 29 مايو.

تبعات FERPA هنا غير متماثلة بطريقة أغفلتها كثير من المؤسسات: لا يقع الالتزام القانوني على عاتق المورد. فالمؤسسات التعليمية التي تشارك بيانات الطلاب مع Instructure بموجب اتفاقية معالجة بيانات “المسؤول المدرسي” تحتفظ بالتزامات إشعار ومعالجة مستقلة بموجب FERPA، بصرف النظر عما تُبلّغ به Instructure أو ما أسفر عنه اتفاق الفدية. أشارت إرشادات Reed Smith صراحةً إلى ذلك: يتعين على المؤسسات “تقييم التزامات الإشعار المستقلة بموجب قوانين خرق البيانات الولائية والفيدرالية” و”الاستعداد للاستفسارات التنظيمية من مكتب التحقيقات الفيدرالي (FBI) ولجنة التجارة الفيدرالية (FTC) والنيابات العامة الولائية”.

اعترف الرئيس التنفيذي Steve Daly في بيانه العلني بوجود خلل في التواصل: “ركّزنا على جمع الحقائق وصمتنا حين كنتم تحتاجون إلى تحديثات مستمرة”. أسهم هذا الصمت خلال الفترة من 2 إلى 7 مايو — بين الإعلان الأولي عن احتواء الأزمة والاختراق الثاني — في تعميق انعدام الثقة المؤسسي. وأفادت عدة أنظمة جامعية كبرى في الولايات المتحدة والمملكة المتحدة وكندا وأستراليا وهولندا بتعطّل الامتحانات النهائية جراء تعليق خدمة Canvas خلال الحادثة الثانية.

استقطبت عملية دفع الفدية ذاتها انتقادات من المختصين في الأمن. حذّر Cliff Steinhauer، مدير الأمن السيبراني في التحالف الوطني للأمن السيبراني، من أن دفع الفدية “قد يخلق حلقة تغذية راجعة خطيرة” وأنه لا توجد “طريقة موثوقة للتحقق” من ادعاءات حذف البيانات رغم تطمينات المجرمين. أشار تحليل ComplianceHub للاختراق إلى أن الدفع لـ ShinyHunters لا يُفني البيانات — بل يُزيل فقط التهديد الآني بالتسريب العلني، فيما تبقى السجلات المسروقة في أيدي المجرمين أو ربما بِيعت بالفعل.

ما يجب على فرق الأمن ومديري تقنية المعلومات فعله

1. مراجعة حسابات الموردين غير المُدارة وتعطيلها فورًا

ثغرة حسابات Free-For-Teacher ليست حكرًا على Canvas. أي منصة SaaS تتيح التسجيل المجاني الذاتي تُفضي إلى الانكشاف الهيكلي ذاته: حسابات مُنشأة خارج سير عمل توفير المؤسسة، دون حوكمة هوية مركزية، ودون فرض MFA. نصّت تنبيه الأمن الصادر عن وزارة التعليم الأمريكية على “تعطيل الحسابات غير المستخدمة، ولا سيما حسابات المعلمين غير الخاضعة للإدارة” باعتبارها إجراءً ذا أولوية قصوى. ينبغي لفرق الأمن استخراج جرد كامل بجميع منصات SaaS المستخدمة عبر المؤسسة، وتحديد المنصات التي تتيح التسجيل الذاتي، والتحقق من خضوع الحسابات المجانية أو التجريبية لسياسات دورة حياة الهوية ذاتها المعمول بها للحسابات المؤسسية. إن عجز مورّد عن تقديم سجل تدقيق بجميع الحسابات النشطة المرتبطة بنطاقكم، فعاملوه ضمن بنود مخاطر الموردين عالية الأولوية.

2. فرض المصادقة متعددة العوامل على جميع الأنظمة الإدارية وأنظمة الموردين المرتبطة

استغل الاختراق حسابات تفتقر إلى فرض MFA — وهو إخفاق في الضوابط أشار إليه توجيه وزارة التعليم الأمريكية في مقدمة خطواتها السبع التصحيحية الإلزامية. لا يمكن قصر فرض MFA على الأنظمة الداخلية؛ بل يجب أن يمتد ليشمل كل بوابة مورّد وكل لوحة إدارة وكل نقطة تكامل API حيث تتدفق البيانات المؤسسية أو بيانات الطلاب. راجعوا عقود الموردين للاطلاع على متطلبات MFA — فإن خلا عقد منها من بند صريح بشأن MFA، وجب تعديله عند التجديد القادم أو الإبلاغ عنه للمعالجة التعاقدية الطارئة. المؤسسات التي تعجز عن فرض ذلك داخليًا ينبغي أن تتخذ من خرق Canvas دافعًا للتفاوض على التزامات أمنية على مستوى SLA من موردي نظام إدارة التعلم، تشمل فرض MFA الإلزامي وإفصاحات اختبار الاختراق الدورية وجداول إشعار بالحوادث لا تتجاوز 48 ساعة.

3. مراجعة عقود الموردين الخارجيين بشأن الانكشاف لـ FERPA وثغرات التعويض

تتيح استثناءات “المسؤول المدرسي” في FERPA للمؤسسات مشاركة بيانات الطلاب مع الموردين، غير أنها لا تنقل المسؤولية القانونية عن الاختراقات — بل تُرسي فحسب إفصاحًا مسموحًا به. حدّدت قائمة مراجعة Reed Smith مراجعة العقود باعتبارها أولوية فورية: ينبغي للمؤسسات فحص بنود التعويض وواجبات إعادة البيانات وتدميرها ومتطلبات إشعار الاختراق ومتطلبات التأمين في كل اتفاقية مورّد نشطة تمس بيانات الطلاب. يكتسب خرق Canvas أهمية خاصة هنا لأن اتفاق الفدية تضمّن ادعاءً بـ”تدمير البيانات” يشكك فيه الخبراء القانونيون في إمكانية التحقق منه. إن كانت اتفاقية مورّدكم لا تشترط إجراءات تدمير بيانات موثقة وقابلة للتدقيق، فلن يكون لكم أي مسعى قانوني حين تحلّ اتفاقية فدية محل تلك الإجراءات. استعينوا بالمستشار القانوني قبل تجديد كل عقد مورّد SaaS من الدرجة الأولى.

استحقاق مخاطر الموردين الذي لا يمكن للتعليم تأجيله

لا يُعدّ خرق Canvas في حد ذاته مشكلة Canvas. إنه إدانة هيكلية لطريقة تعامل مؤسسات التعليم العالي مع علاقات موردي SaaS على مدار العقد الماضي: باعتبارها قرارات شراء لا قرارات أمنية.

مخاطر التركّز هنا صارخة. حين يعتمد 41 بالمئة من التعليم العالي الأمريكي على نظام إدارة تعلم واحد، يتحوّل اختراق مورّد واحد إلى حادثة تطال القطاع بأسره. أثّر خرق Instructure على مؤسسات في تسع دول في نافذة زمنية واحدة — لا لأن المهاجمين كانوا بالغي التطور، بل لأن نوع حساب ضعيف الحوكمة في منصة مهيمنة أوجد نقطة فشل واحدة على نطاق عالمي.

خطاب FERPA الصادر عن وزارة التعليم الأمريكية بتاريخ 29 مايو يُشير إلى موقف تنظيمي ينبغي لقادة المؤسسات قراءته بعناية. صاغت الوزارة الامتثال لـ FERPA لا باعتباره تمريناً شكلياً عند توقيع العقد، بل التزامًا مستمرًا يُفعَّل وقت الاختراق. المؤسسات التي لا تستطيع إثبات رصد فعّال لوضع الأمان لدى موردها والاستجابة السريعة لمؤشرات الاختراق وإجراءات إشعار الطلاب الموثقة ستواجه رقابة تنظيمية إلى جانب أي مطالبات قانونية.

ربما اشترى دفع الفدية لـ Instructure وقتًا بشأن موعد التسريب. غير أنه لم يشترِ للقطاع وقتًا بشأن السؤال الأعمق: ماذا يعني أن تعهد بسجلات تعليمية لـ 275 مليون طالب — رسائلهم وهوياتهم وتاريخهم المؤسسي — إلى منظومة موردين تفتقر إلى الحوكمة المعيارية في الصناعة؟ ستتشكّل الإجابة على هذا السؤال في قاعات المحاكم والمكاتب التنظيمية وغرف الاجتماعات على مدار الأشهر الثمانية عشر القادمة.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• والقراءات الإضافية
• خرق بيانات Canvas 2026 — Wikipedia
• Instructure تبرم اتفاق فدية مع ShinyHunters لوقف تسريب 3.65TB من Canvas — The Hacker News
• هجوم Canvas/Instructure: التطورات الرئيسية وإجراءات العمل لمؤسسات التعليم العالي — Reed Smith
• تنبيه أمني تقني — نظام إدارة التعلم Canvas (محدّث 29 مايو 2026) — وزارة التعليم الأمريكية FSA
• Instructure تدفع فدية لمخترقي Canvas — Inside Higher Ed
• خرق Instructure Canvas: ShinyHunters يسرق 275 مليون سجل طالب — مرتين — ComplianceHub