Canvas rammet av data­innbrudd igjen

Saken oppdateres

Den digitale læringsplattformen Canvas er rammet av dataangrep, og en inntrenger har fått tilgang på flere typer data, skriver Gblock. 

— Vi er i dialog med leverandøren og jobber med å få bekreftet eller avkreftet om norske institusjoner er rammet av datainnbruddet. Vi er også i dialog med leverandør og institusjoner om videre håndtering dersom det viser seg at data er på avveie, sier Åshild Berg-Tesdal, kommunikasjonssjef i Sikt, til Khrono.

Sikt er tjenesteleverandøren til kunnskapssektoren. Flere universiteter forteller til Khrono at de jobber med å finne ut om de er berørt. Det er over 7000 ulike institusjoner i hele verden som bruker plattformen, også på grunnskolen. 

1. mai ble Instructure, som er leverandøren bak Canvas, rammet av dataangrep. Inntrengerne fikk tak i navn, e-postadresser, studentID-nummer, og private meldinger på plattformen. De fikk ikke tak i passord, fødselsdatoer, eller økonomisk informasjon. 

Informert ansatte og studenter

— Vi har informert ansatte og studenter om innbruddet og følger saken i tett dialog med Sikt og de andre utdanningsinstitusjonene som bruker Canvas. Vi vil fortsette å oppdatere studenter og ansatte når det foreligger oppdatert informasjon, sier Bjørg Oftedal, prorektor ved Universitetet i Stavanger (UiS), til Khrono. 

Hun sier universitetet foreløpig ikke har fått bekreftelse på om de er direkte berørt.

Ved OsloMet opplyser utdanningsdirektør Håkon Solberg at de jobber med det samme.

— Vi informerte studentene våre og ansatte i dag. OsloMet lagrer ikke personnummer eller passord i Canvas for å begrense konsekvensene av hendelser som denne, sier Solberg til Khrono.

NTNU har sendt ut en melding til ansatte og studenter om at de kan være rammet av datainnbrudd, opplyser kommunikasjonsavdelingen til Khrono.

«Leverandøren av Canvas, Instructure, er utsatt for et målrettet angrep fra en ekstern trusselaktør som har hentet ut data. Vi avventer bekreftelse på om NTNU er berørt og detaljer om omfang og hvilke data som eventuelt er kompromittert», står det i meldingen. 

Universitetet i Sørøst-Norge (USN) har sendt melding til ansatte og studenter, men har ikke fått bekreftet om de er blant institusjonene som er rammet, opplyser kommunikasjonssjef Reidun Mangrud. 

Vid vitenskapelige høyskole har orientert ansatte og studenter om at det har vært et sikkerhetsbrudd hos Canvas, men har ingen kjennskap til om de er direkte berørt.

Ikke første gang

Khrono har kontaktet Datatilsynet og spurt om de har blitt kontaktet av institusjonene, men foreløpig ikke fått svar. 

Datatilsynet opplyser på sin nettside at mistenkte brudd på personopplysningsloven skal meldes til Datatilsynet innen 72 timer.

VG omtalte saken først i Norge.

Flere internasjonale universiteter har skrevet om innbruddet, blant annet Rutgers universitet og Universitetet i Massachusetts, begge i USA.

Trusselaktøren ShinyHunters har tatt ansvar for angrepet, skriver nettmagasinet Security. Det gjorde de også forrige gang Canvas ble utsatt for dataangrep i september i 2025.

Dette er andre gangen de angriper leverandøren på under et år, skriver Gblock.