ANALISI
Instructure e Canvas, il riscatto pagato: un fornitore unico per migliaia di scuole
Tra fine aprile e inizio maggio 2026 ShinyHunters ha violato due volte Instructure, che produce la piattaforma Canvas usata da migliaia di scuole e università, e l'11 maggio la società ha pagato per evitare la pubblicazione dei dati. L'analisi: pagare per la sola estorsione, un fornitore per molti assicurati e domande per i rinnovi.
Archivio: ricostruzione scritta a novembre 2026
Tema del mese di maggio 2026 · di cybercoverinsurance
Tra la fine di aprile e l'inizio di maggio 2026 il gruppo ShinyHunters ha violato due volte Instructure, la società che produce Canvas, una delle piattaforme di apprendimento più usate al mondo. Il gruppo ha dichiarato di avere dati di 275 milioni di studenti e docenti di quasi 9.000 istituti. Il 7 maggio, durante gli esami finali, Canvas è andata offline. L'11 maggio Instructure ha pagato gli estorsori in cambio della promessa di distruggere i dati.
Per chi assume il rischio cyber il caso riunisce due temi: il pagamento di un riscatto per la sola estorsione sui dati, e un fornitore unico da cui dipendono migliaia di scuole e università, ognuna con i propri obblighi verso studenti e famiglie.
Cosa si sa
Le intrusioni. Instructure ha rilevato attività non autorizzate il 29 aprile e il 7 maggio. Dopo la prima, il 2 maggio, ha detto che l'incidente era contenuto e che potevano essere esposti nomi, email, numeri di matricola e messaggi tra utenti (NYT via GV Wire). Il 3 maggio ShinyHunters ha pubblicato una richiesta di riscatto con scadenza 6 maggio. Il 7 maggio una seconda intrusione, legata agli account gratuiti per insegnanti, ha permesso di modificare le pagine di accesso con un messaggio di estorsione, e Instructure ha messo Canvas in manutenzione. Il servizio è tornato disponibile per la maggior parte degli utenti l'8 maggio (Reed Smith).
I dati. Secondo Instructure sono coinvolti nomi e indirizzi email di studenti, docenti e personale, numeri di matricola, iscrizioni ai corsi e messaggi tra utenti, comprese comunicazioni private tra studenti e docenti. Non risultano coinvolti password, date di nascita, documenti d'identità o dati finanziari. Gli attaccanti hanno parlato di "miliardi" di messaggi privati; i dati sui 275 milioni di utenti e i quasi 9.000 istituti vengono dalla loro rivendicazione (KrebsOnSecurity).
Il pagamento. L'11 maggio, il giorno prima della nuova scadenza, Instructure ha pagato gli estorsori. Ha detto di aver ricevuto una conferma digitale della distruzione dei dati e la garanzia che nessun cliente sarebbe stato estorto. L'importo non è stato reso noto (KrebsOnSecurity). La società ha riconosciuto che con i criminali "non c'è mai certezza completa" (GV Wire).
Gli effetti sugli istituti. Canvas ha oltre 30 milioni di utenti attivi e serve più del 41% di college e università nordamericani. Decine di istituti hanno dovuto rinviare o annullare esami finali, prorogare le scadenze dei voti o cambiare piattaforma. Era la seconda violazione di Instructure da parte di ShinyHunters in circa otto mesi, dopo un attacco di ingegneria sociale al suo ambiente Salesforce a settembre 2025 (Reed Smith).
Cosa non è noto. L'importo pagato, il numero reale di persone con dati esposti, il costo per Instructure e per gli istituti e l'eventuale ruolo di un assicuratore nel pagamento non sono stati resi pubblici.
Pagare per la sola estorsione
Nessun sistema cifrato, solo dati. Instructure non ha pagato per riavere i sistemi, ma per evitare la pubblicazione dei dati. È il modello di estorsione ormai prevalente: il riscatto compra una promessa, non un servizio.
La promessa non vale molto. Un accordo con gli estorsori non è esigibile, non è verificabile in modo indipendente e può non vincolare affiliati o acquirenti dei dati (Reed Smith). Per chi assume il rischio, il riscatto per estorsione riduce un rischio di pubblicazione, ma non elimina gli obblighi di notifica né le cause.
Il riscatto e la polizza. Molte polizze cyber coprono il pagamento dell'estorsione, con il consenso dell'assicuratore e nel rispetto delle sanzioni. Il caso Instructure mostra che la decisione di pagare può essere presa in pochi giorni, sotto la pressione di migliaia di clienti e degli esami in corso. La procedura di consenso deve funzionare in quei tempi.
Un fornitore, migliaia di assicurati
Ogni istituto ha il proprio sinistro. Gli istituti hanno obblighi di notifica verso studenti e famiglie secondo le leggi statali e la normativa federale sulla privacy degli studenti, indipendentemente dall'accordo di Instructure (Reed Smith). Per un portafoglio di scuole e università, un solo fornitore produce molti sinistri di notifica e di responsabilità.
L'interruzione nel momento peggiore. Il fermo dell'8 maggio è durato ore, ma è caduto durante gli esami finali (KrebsOnSecurity). Per un istituto il danno non è solo economico: esami rinviati, scadenze prorogate, cambi di piattaforma. La copertura dell'interruzione da dipendenza deve considerare anche i costi straordinari, non solo la perdita di ricavi.
La seconda volta. Era la seconda violazione in otto mesi (Reed Smith). Per chi assicura gli istituti, la storia di sicurezza del fornitore principale è un dato rilevante quanto quella dell'assicurato stesso.
Cosa portare ai rinnovi
Impatto per gli assicuratoriAlto
Un gruppo criminale ha violato due volte in pochi giorni la piattaforma di apprendimento usata da migliaia di scuole e università, che ha pagato un riscatto per evitare la pubblicazione dei dati.
Sul fronte del portafoglio, il caso Instructure suggerisce di contare quanti istituti assicurati usano la stessa piattaforma di apprendimento. Uno scenario di violazione del fornitore con dati di milioni di studenti, notifiche obbligatorie per ogni istituto e cause collettive è un test utile per il cumulo nel settore dell'istruzione.