Canvas hacket igjen
Læringsplattformen Canvas har nettopp blitt kompromittert for andre gang på åtte måneder.
Instructure kunngjorde 1. mai 2026 at de har vært utsatt for et nytt cyberangrep.
Sikkerhetssjefen (CISO) bekreftet at navn, e-postadresser, studentnumre og private meldinger fra brukere ble hentet ut før situasjonen kom under kontroll.
Kripos bekrefter at de kjenner til hendelsen og nå gjør innledende undersøkelser.
Plattformen brukes av mer enn 7 000 universiteter, grunnskoler/videregående skoler og utdanningsmyndigheter verden over, og titalls millioner elever og studenter.
I Norge bruker blant annet UiO, OsloMet, UiS og USN Canvas, i tillegg til flere videregående skoler.
Samtidig oppgir studenter ved flere norske universiteter at de ikke mottok informasjon om lekkasjen før 5. mai.
Hvem er påvirket?
UiO sier at de ikke vet om de er direkte berørt, men at de nå har informert aktive Canvasbrukere på UiO, og har varslet Datatilsynet om det mulige sikkerhetsbruddet.
Universitetet i Sørøst-Norge (USN) har informert sine studenter om sikkerhetsbruddet og opplyser at de følger situasjonen tett.
– Vi har foreløpig ikke fått bekreftet om vi er blant de berørte universitetene, men vi valgte likevel å varsle studentene slik at de kan være oppmerksomme på blant annet mistenkelige e-poster, opplyser Reidun Mangrud, kommunikasjonsrådgiver ved universitetet.
USN har også sendt en foreløpig avviksmelding til Datatilsynet.
Universitetet i Bergen (UiB) opplyser at deres læringsplattform Mitt UiB ikke er berørt av sikkerhetsbruddet.
Plattformen baserer seg på en egen driftet versjon av Canvas, der data lagres i UiBs egne systemer. Samtidig bekrefter universitetet at de har satt planlagt overgang til skyløsningen Canvas på pause i påvente av mer informasjon om hendelsen.
Ser alvorlig på saken
Guro Skåltveit i Datatilsynet opplyser at det fortløpende kommer inn avviksmeldinger i forbindelse med hendelsen.
– Så langt har vi mottatt meldinger fra elleve ulike universiteter og høgskoler.
Hun sier at saken fremstår som omfattende og at Datatilsynet ser alvorlig på den. Samtidig er det foreløpig begrenset informasjon om hva som faktisk er på avveie.
– Studenter skal kunne være trygge på at private meldinger de sender til undervisere via slike plattformer, forblir private.
Ifølge selskapets egen statusoversikt begynte granskingen allerede dagen før. Klokken 17:06 den 30. april registrerte de en hendelse knyttet til «begrensede problemer i verktøy som bruker API-nøkler».
Et døgn senere viste det seg at dette faktisk var et sikkerhetsbrudd.
Situasjonen ble først meldt som kontrollert 2. mai klokken 12:46, av sikkerhetssjef Steve Proud.
Andre gang
For Instructure er ikke dette første gang. I september 2025 ble selskapet rammet av et annet datainnbrudd, der angripere fikk tilgang via sosial manipulering mot deres Salesforce-system. Det var gruppen ShinyHunters tok på seg ansvaret den gangen.
Hvem som står bak hendelsen i mai 2026 er fortsatt ukjent.