May 26, 2026Новости / АналитикаIndonesia United States

Двести семьдесят пять миллионов

25 апреля 2026 года группа ShinyHunters взломала систему управления обучением Canvas компании Instructure через уязвимость в аккаунтах Free-For-Teacher и выгрузила 3,65 терабайта данных, охватывающих примерно 275 млн записей студентов и преподавателей в 8809 образовательных учреждениях по всему миру. Canvas — не тот сервис, который студенты выбирают. Это платформа, которую их учебные заведения обязывают использовать: отказаться нельзя, альтернативы нет, и рыночного сигнала уходом студент подать не может. Когда первичное вымогательство ShinyHunters у Instructure провалилось, группа переключилась на вымогательство у каждой школы по отдельности, испортив примерно 330 институциональных страниц входа в Canvas требованиями выкупа в неделю выпускных экзаменов. Instructure заплатила выкуп 11 мая, за день до дедлайна ShinyHunters по публикации украденных данных, и получила «логи уничтожения» как цифровое подтверждение их удаления. ФБР не рекомендует платить выкуп. Цифровые данные можно копировать бесконечно. Логи уничтожения доказывают удаление из одной системы, а не из всех копий. Взлом Canvas — крупнейшая утечка образовательных данных в зафиксированной истории, на порядок превосходящая остальные. Это ещё и структурный кейс о том, что происходит, когда платформа, которой людей обязывают пользоваться, оказывается платформой, которую взломали. Тот же паттерн повторяется на каждом институциональном слое в этом месяце: платформы bossware — программы слежки за сотрудниками, которые работодатели обязывают устанавливать, — передают данные работников 145 внешним рекламным доменам, включая Google, Meta и «Яндекс». Команда эффективности DOGE скопировала базу NUMIDENT Администрации социального обеспечения, охватывающую все заявления на получение номера социального страхования, поданные более чем 300 млн американцев, на несанкционированный сервер Cloudflare без средств защиты. Поисковый инструмент Perplexity AI, продвигаемый как уважающий приватность, предположительно встроил Meta Pixel и серверные трекеры Conversions API, передававшие разговоры пользователей в Meta и Google для рекламного таргетинга даже в режиме инкогнито. TrapDoor внедрял скрытые инструкции из символов нулевой ширины в файлы .cursorrules и CLAUDE.md, чтобы обманом заставить ИИ-ассистентов для программирования выполнять крадущий учётные данные код под видом сканирования безопасности. В каждом случае поверхность атаки — не программное обеспечение. Это обязательность. Платформа, которую нельзя покинуть, — это платформа, где у взлома нет рыночных последствий, а значит, нет и рыночного стимула его предотвращать. У двухсот семидесяти пяти миллионов студентов не было выбора. Архитектура, которая дала бы им выбор, не требует разрешения их учебного заведения.

Редакция URnetworkСан-Франциско — 26 мая 2026 г.

Двести семьдесят пять миллионов

Число простое. Масштаб — нет.

25 апреля 2026 года киберпреступная группа ShinyHunters проэксплуатировала уязвимость в тарифе Free-For-Teacher системы Canvas компании Instructure — системы управления обучением, которую используют университеты, школьные округа и министерства образования примерно в 100 странах. Взлом дал 3,65 терабайта данных: имена, адреса электронной почты, студенческие идентификационные номера и личную переписку между преподавателями и студентами в 8809 учреждениях.

Первое публичное раскрытие Instructure состоялось 1 мая. К 7 мая ShinyHunters пошли на эскалацию: они испортили примерно 330 институциональных страниц входа в Canvas требованиями выкупа, взломав систему во второй раз. Атака пришлась на неделю выпускных экзаменов. Пенсильванский университет, Обернский университет и сотни других учреждений не смогли проводить экзамены. CNN описала студентов как «застрявших» посреди семестра.

11 мая — за день до дедлайна ShinyHunters по публикации украденных данных — Instructure достигла соглашения о выкупе. Хакеры, по сообщениям, вернули данные и предоставили «логи уничтожения» (shred logs) как цифровое подтверждение их удаления. Сумма выкупа не раскрыта.

Двести семьдесят пять миллионов — это примерно население Индонезии. Это больше, чем число всех, кто подал налоговую декларацию в США в 2025 году. Это крупнейшая утечка образовательных данных в зафиксированной истории, на порядок превосходящая остальные.

Платформа, которую нельзя покинуть

Canvas — не потребительский продукт. Студенты его не выбирают. Его выбирают учебные заведения, а студенты обязаны им пользоваться: сдавать задания, получать оценки, общаться с преподавателями, получать доступ к учебным материалам, сдавать экзамены. Механизма отказа нет. Альтернативного пути к диплому нет.

Это то структурное свойство, которое отличает взломы обязательных платформ от взломов потребительских сервисов. Когда в 2017 году был взломан Equifax (147 млн записей), потребители не могли «отказаться» от наличия кредитной истории — но теоретически могли заморозить свои досье, сменить бюро или подать в суд. Когда взломан Canvas, у 275 млн затронутых пользователей не было ни предварительного выбора, ни параллельной альтернативы, ни выхода. Взлом случился с ними через систему, пользоваться которой их обязало учреждение, которое им же и служит.

У обязательной платформы есть структурное свойство, инвертирующее нормальную рыночную динамику. Когда взломан потребительский продукт, пользователи могут уйти, и компания несёт репутационные и выручковые последствия. Когда взломана обязательная платформа, пользователи уйти не могут, и компания не сталкивается с рыночной дисциплиной со стороны пользователей. Единственные последствия исходят от регуляторов, судебных исков или договорных санкций со стороны учреждений — и ни один из этих механизмов не работает со скоростью утечки данных.

ShinyHunters понимали этот рычаг. Когда первичное вымогательство у Instructure провалилось, группа переключилась на давление по отдельным школам: индивидуально портила университетские страницы входа, а затем угрожала каждому учреждению по отдельности. Пользователи обязательной платформы — студенты в разгар выпускных экзаменов — стали механизмом давления.

Логи уничтожения

Instructure заплатила выкуп и получила «логи уничтожения» — записи, якобы показывающие, что ShinyHunters удалили украденные данные из своих систем.

Консенсус в области кибербезопасности по поводу логов уничтожения однозначен. Цифровые данные могут быть скопированы в любое число систем в любой момент между выгрузкой и заявленным удалением. Лог уничтожения доказывает, что данные были удалены из одного конкретного места хранения. Он не может доказать, что данные не были скопированы в другое место, переданы третьей стороне, проданы до уплаты выкупа или сохранены в системе, которую лог не охватывает. Операция по проверке удаления потребовала бы доступа ко всем системам, которые контролирует атакующий, а такого доступа атакующий не предоставит.

Позиция ФБР остаётся прежней: организациям не следует платить выкуп. Платёж стимулирует будущие атаки, финансирует преступные операции и не даёт никаких гарантий уничтожения данных. Решение Instructure заплатить — по сообщениям, за день до дедлайна публикации — было принято под давлением 275 млн записей, срыва недели выпускных экзаменов в тысячах учреждений и нарастающей кампании порчи страниц входа по отдельным школам.

Прецедент — вот что тревожит на перспективу. Если уплата выкупа даёт удовлетворительный исход для Instructure и её институциональных клиентов, то каждая обязательная платформа в образовании, здравоохранении и государственном управлении становится кандидатом на тот же сценарий: взломать платформу, которую пользователи не могут покинуть, вымогать у оператора под давлением времени и получить платёж в обмен на обещание, которое невозможно проверить.

Заголовок Inside Higher Ed точно передал эту динамику: "Pay or Leak" — «Плати или утечёт».

Дверь Free-For-Teacher

Уязвимость, сделавшая взлом возможным, находилась в тарифе Canvas Free-For-Teacher — типе бесплатного аккаунта, созданном, чтобы отдельные преподаватели могли попробовать Canvas без институциональной закупки. Тариф Free-For-Teacher существует в той же инфраструктуре, что и институциональный. Уязвимость позволила ShinyHunters перейти с бесплатного тарифа в более широкую инфраструктуру Canvas, получив доступ к данным во всех 8809 институциональных развёртываниях.

Архитектурный урок в том, что бесплатная точка входа в экосистему обязательной платформы создаёт поверхность атаки, где нет никакой пропорциональности между точкой доступа и данными за ней. Тариф Free-For-Teacher обслуживает отдельных педагогов. Данные за ним обслуживают 275 млн студентов в учреждениях, которые совокупно платят миллионы за лицензии ради гарантий безопасности, которые, как они полагали, платформа предоставляет.

Второй взлом 7 мая — уже после раскрытия Instructure 1 мая — показал, что первичное сдерживание было неполным. ShinyHunters снова получили доступ к системе, испортили страницы входа и внедрили сообщения о выкупе прямо в пользовательский интерфейс. Студенты, пытавшиеся войти для сдачи выпускных экзаменов, видели вместо своих учебных материалов требования атакующих.

Паттерн

Canvas — не единственная обязательная платформа, взломанная в этом месяце. Паттерн распространяется на каждый институциональный слой, где у пользователей нет выбора.

Работодатели. Исследование, опубликованное 21 мая исследовательской группой Data Culture Group Северо-Восточного университета под руководством Стефани Нгуен, бывшего главного технолога Федеральной торговой комиссии, протестировало девять платформ мониторинга сотрудников категории bossware. Все девять передавали идентифицирующие данные работников третьим сторонам. Все девять передавали сетевую активность работников, включая IP-адреса, информацию об устройстве и посещённые веб-страницы, более чем 145 внешним доменам. Среди получателей — Google, Facebook, LinkedIn, «Яндекс» и AppLovin, платформа мобильной рекламы с рыночной капитализацией свыше 100 млрд долларов.

Работодатели обязывают работников устанавливать эти платформы. У работников нет осмысленного механизма согласия: отказ означает потерю работы. Данные мониторинга текут от предписания работодателя через устройство сотрудника в рекламную сеть, и на каждом этапе продуктом является сам сотрудник. ЕС запретил распознавание эмоций в трудовых отношениях с 2 февраля 2025 года. В США эквивалентного ограничения нет.

Государство. Департамент эффективности государственного управления скопировал базу данных NUMIDENT Администрации социального обеспечения, содержащую все когда-либо поданные заявления на получение номера социального страхования и охватывающую более 300 млн американцев, на облачный сервер без соблюдения требуемых протоколов безопасности. Информатор, бывший директор по данным SSA Чарльз Борхес, утверждал, что данные были размещены на несанкционированном экземпляре Cloudflare. Внутренняя оценка рисков самой SSA оценила вероятность утечки данных с "catastrophic adverse effect" — катастрофическим неблагоприятным воздействием — в результате этих практик доступа в 35–65 процентов.

Верховный суд разрешил такой доступ 6 голосами против 3. Министерство юстиции признало "inaccuracies and misrepresentations" — неточности и искажения — в судебных документах о масштабе доступа DOGE к данным. Как минимум двенадцать федеральных исков заявляют о нарушениях Privacy Act of 1974, Закона о неприкосновенности частной жизни.

Американцы не могут отказаться от участия в системе социального обеспечения. База NUMIDENT существует потому, что государство обязывает участвовать. Когда база данных обязательной системы копируется на несанкционированный сервер с вероятностью катастрофической утечки 35–65 процентов, у 300 млн человек, чьи данные под угрозой, не было предварительного выбора и нет средств правовой защиты.

ИИ-поиск. Perplexity AI, поисковый инструмент, продвигаемый как уважающий приватность, предположительно встроил прямо в свой код Meta Pixel, Google Ads, Google DoubleClick и серверный Conversions API компании Meta. 135-страничный коллективный иск, поданный 31 марта в Северном округе Калифорнии, утверждает, что разговоры пользователей — включая запросы, ответы, адреса электронной почты, IP-адреса и информацию об устройстве — передавались в Meta и Google для рекламного таргетинга. Отслеживание, как утверждается, происходило даже когда пользователи включали «режим инкогнито» Perplexity, который иск называет «фикцией».

Meta Conversions API работает по схеме «сервер — сервер». Ни один браузерный инструмент приватности — ни блокировщик рекламы, ни защита от отслеживания, ни VPN — не может обнаружить или предотвратить эту передачу. Пользователи, принявшие все доступные меры предосторожности, предположительно отслеживались через механизм, невидимый для их защитных инструментов.

Инструменты разработчика. Кампания в цепочке поставок TrapDoor, впервые замеченная 22 мая, внедряла скрытые инструкции в конфигурационные файлы .cursorrules и CLAUDE.md с помощью символов нулевой ширины. Эти инструкции обманом заставляют ИИ-ассистентов для программирования — такие инструменты, как Cursor и Claude Code, — выполнять то, что выглядит как «сканирование безопасности», а на деле собирает учётные данные, SSH-ключи, данные криптовалютных кошельков и API-токены. Кампания била по разработчикам в криптовалютных, DeFi- и ИИ-сообществах через 34 вредоносных пакета в npm, PyPI и Crates.io.

Отдельно от этого отравленная версия расширения Nx Console для VS Code, установленная сотрудником GitHub 18 мая, привела к выгрузке примерно 3800 внутренних приватных репозиториев GitHub, включая внутренности Copilot, инструменты CodeQL и инфраструктуру безопасности. TeamPCP и LAPSUS$ выставили украденные данные на совместную продажу за 95 000 долларов. Атака началась с учётных данных, украденных через компрометацию цепочки поставок npm TanStack семью днями ранее, — рекурсивный переход от цепочки поставок к платформе, где каждая компрометация делала возможной следующую.

Структурный аргумент

Общее свойство этих взломов — не общая уязвимость, не общий атакующий и не общий технологический стек. Это общая архитектура: обязательная платформа.

Когда платформа обязательна — её требует школа, работодатель, государство или практическая необходимость профессионального инструментария, — пользователь не может уйти. Его дальнейшее присутствие на платформе не является сигналом доверия или удовлетворённости; это условие участия в институте, которому платформа служит. Взлом не порождает того рыночного последствия, которое дисциплинирует добровольные платформы.

Результат — асимметрия. Рычаг атакующего пропорционален силе обязательности. ShinyHunters понимали, что неделя выпускных экзаменов в 8809 учреждениях создаёт неотразимое давление времени. DOGE понимал, что у системы социального обеспечения нет конкурентной альтернативы. Вендоры bossware понимают, что сотрудники не могут отказаться от установки. Perplexity понимала, что пользователи, ищущие приватности в ИИ-инструменте, не ожидают серверного отслеживания, невидимого их браузеру.

В каждом случае невозможность выхода для пользователей — это предпосылка того воздействия, которое оказывает взлом.

Архитектура, которой не нужно разрешение

Пользовательский ответ на риск обязательных платформ — тот же ответ, который это издание документирует во всех областях интернет-свободы: архитектуры, где ключи держит пользователь, транспорт не проходит через промежуточный слой, а взлом платформы не компрометирует данные пользователя, потому что платформа никогда их не хранила.

Сквозное шифрование переписки, где сервер видит только шифротекст. Самостоятельно размещаемые системы управления обучением, где учреждение контролирует собственные данные. Федеративная идентичность с избирательным раскрытием, где владелец удостоверения решает, чем и с кем делиться. ИИ с локальным инференсом, где запрос не покидает устройство пользователя. Аппаратные токены аутентификации, которые нельзя выудить через потоки с кодом устройства. Постквантовая криптографическая гибкость, где протокольный стек развивается быстрее угрозы.

Ни одному из этих инструментов не нужно разрешение учреждения для развёртывания. Ни один не зависит от практик безопасности обязательной платформы. Ни один не создаёт хранилище данных, которое атакующий может выгрузить одним взломом.

Взлом Canvas раскрыл 275 млн записей, потому что Canvas хранила 275 млн записей в централизованной системе, доступной через одну уязвимость. Архитектура, распределяющая контроль по конечным точкам, — где студент держит ключ, школа хранит минимум, а платформа никогда не накапливает те 3,65 терабайта, которые нашли ShinyHunters, — не устраняет риск. Но она устраняет структурное свойство, сделавшее взлом Canvas возможным в таком масштабе: одна дверь и 275 млн записей за ней.

У двухсот семидесяти пяти миллионов не было выбора

Обязательная платформа — это архитектура принуждения. Студент пользуется Canvas, потому что этого требует университет. Работник ставит приложение мониторинга, потому что этого требует работодатель. У гражданина есть номер социального страхования, потому что этого требует государство. Разработчик пользуется расширением IDE, потому что этого требует рабочий процесс.

На каждом слое обязательность создаёт централизацию, централизация создаёт мишень, а взлом создаёт последствие, которое ни один отдельный пользователь не может предотвратить, смягчить или обойти уходом.

У двухсот семидесяти пяти миллионов студентов не было выбора, хранит ли Canvas их данные. У них не было выбора, существует ли уязвимость Free-For-Teacher. У них не было выбора, заплатит ли Instructure выкуп. И у них нет никакого способа проверить, значат ли логи уничтожения хоть что-нибудь.

Архитектура, которая дала бы им выбор, не требует разрешения их учебного заведения. Ей нужен транспортный слой, не проходящий через обязательную платформу. Ей нужен ключ, который держит студент. Ей нужен протокол, который не накапливает 3,65 терабайта в одном хранилище за одной уязвимостью.

Обязательная платформа — это проблема. Распределённая архитектура — это ответ. Эти 275 млн не выбирали проблему. Архитектура позволяет им выбрать ответ.

URnetwork — это одноранговый оверлей для устойчивого к цензуре транспорта. Оверлей URnetwork распределяет контроль по конечным точкам, а не накапливает его на слое платформы. Пользователи держат собственные ключи.

https://ur.io

Источники (16)

Источники

Further Discussion

Отказаться нельзя

**Позиция.** У двухсот семидесяти пяти миллионов студентов не было выбора. Canvas — система управления обучением, которую обязывают использовать 8809 образовательных учреждений по всему миру: университеты, школьные округа, министерства образования примерно в 100 странах. Когда 25 апреля 2026 года ShinyHunters взломали Instructure через уязвимость в аккаунтах Free-For-Teacher и выгрузили 3,65 терабайта студенческих данных, у 275 млн человек, чьи имена, адреса почты, студенческие идентификаторы и личная переписка с преподавателями были украдены, не было ни предварительного выбора, пользоваться ли платформой, ни параллельной альтернативы, куда перейти, ни механизма выхода, чтобы защитить свои данные. Таково структурное свойство обязательной платформы: когда платформу требует учреждение, пользователь не может уйти, взлом не порождает рыночных последствий, а рычаг атакующего пропорционален силе обязательности. ShinyHunters это понимали — когда Instructure отказалась платить, они по отдельности испортили 330 университетских страниц входа в неделю выпускных экзаменов и переключились на вымогательство у каждой школы. Тот же паттерн распространяется на каждую обязательную платформу, взломанную в этом месяце: платформы bossware, которые обязывают ставить работодатели, передают данные работников 145 внешним рекламным доменам, включая Google, Meta и «Яндекс» (9 из 9 протестированных, по данным исследования Северо-Восточного университета от 21 мая). DOGE скопировал базу данных NUMIDENT Администрации социального обеспечения, охватывающую 300 млн американцев, на несанкционированный сервер Cloudflare — а от социального обеспечения американцы отказаться не могут. Поисковый инструмент Perplexity AI предположительно встроил серверные трекеры Meta Conversions API, невидимые любому браузерному инструменту приватности: пользователи, выбравшие «режим инкогнито», отслеживались через механизм, который не обнаружит ни один блокировщик рекламы. Поверхность атаки — не программное обеспечение. Это обязательность. Отказаться нельзя. Рыночной дисциплины нет. Рычаг максимальный. **Варианты заголовков.** - Отказаться нельзя · У 275 миллионов студентов не было выбора - Обязательная платформа · Когда нельзя уйти, нельзя и защититься - Двести семьдесят пять миллионов · Взлом, в котором вас обязали участвовать - Неделя экзаменов · Вымогательство, нацеленное на студентов, которые не могли уйти **Кикер.** 275 млн студентов. 8809 учреждений. Отказаться нельзя. Альтернативы нет. Рыночного сигнала нет. Обязательная платформа — вот поверхность атаки. Обязательность — вот рычаг.

Логи уничтожения

**Позиция.** Instructure заплатила выкуп. ShinyHunters предоставили «логи уничтожения» — цифровые записи, якобы доказывающие, что украденные 3,65 терабайта студенческих данных были уничтожены. ФБР не рекомендует платить выкуп. Консенсус в области кибербезопасности по поводу логов уничтожения однозначен: цифровые данные могут быть скопированы в любое число систем в любой момент между выгрузкой и заявленным удалением. Лог уничтожения доказывает удаление из одного конкретного места хранения. Он не может доказать, что данные не были скопированы в другое место, переданы третьей стороне, проданы до уплаты выкупа или сохранены в системе, которую лог не охватывает. Проверка потребовала бы доступа ко всем системам, которые контролирует атакующий, а такого доступа атакующий не предоставит. Решение Instructure принималось под чрезвычайным давлением: 275 млн записей, сорванная неделя выпускных экзаменов в тысячах учреждений, 330 университетских страниц входа, испорченных требованиями выкупа, и дедлайн 12 мая для публичной публикации данных. Сумма выкупа не раскрыта. Прецедент — вот структурная тревога: если уплата выкупа даёт удовлетворительный исход для оператора и его институциональных клиентов, то каждая обязательная платформа в образовании, здравоохранении и государственном управлении становится кандидатом на тот же сценарий. Взломать платформу, которую пользователи не могут покинуть. Вымогать у оператора под давлением времени. Получить платёж в обмен на обещание, которое невозможно проверить. Логи уничтожения — это квитанция за обещание, построенное на доверии к тому, кто это доверие первым и нарушил. Архитектура, которая сделала бы логи уничтожения ненужными, — та, где платформа никогда не накапливает 3,65 терабайта студенческих данных за одной уязвимостью, где студент держит ключ, школа хранит минимум, а атакующий не находит централизованного клада, который можно украсть. **Варианты заголовков.** - Логи уничтожения · Квитанция за обещание, которое невозможно проверить - Плати или утечёт · Выкуп, который заплатила Instructure, и доказательство, которое ничего не доказывает - Три и шестьдесят пять сотых терабайта · Почему за одной дверью никогда не должно быть 275 миллионов записей - Обещание · Цифровые данные копируются бесконечно **Кикер.** Instructure заплатила. ShinyHunters прислали логи уничтожения. Цифровые данные копируются бесконечно. Лог уничтожения доказывает удаление из одной системы, а не из всех. Архитектура, делающая логи уничтожения ненужными, — та, где 3,65 терабайта никогда не накапливаются за одной дверью.

Comics

Comic: Отказаться нельзя — #1Отказаться нельзя

Comic: Логи уничтожения — #2Логи уничтожения