해커 집단 샤이니헌터스가 캔버스 LMS에서 2억7500만명 데이터를 훔쳤다고 주장하자 인스트럭처가 침해를 인정하고 해커와 합의했다

무슨 일인가

전 세계 학교가 쓰는 학습관리시스템(LMS) 캔버스(Canvas)를 운영하는 인스트럭처(Instructure)가 2026년 4월 29일 캔버스 안에서 무단 활동을 탐지해 접근을 차단하고 외부 포렌식 전문가와 조사를 시작했다고 밝혔다.¹ 회사는 5월 1일 금요일 보안 사고를 처음 공개했고, 이튿날 이용자의 개인정보가 노출됐다고 확인했다.² 그 직후 해커 집단 샤이니헌터스(ShinyHunters)가 자신들의 유출 사이트에 "전 세계 약 9000개 학교", "2억7500만명의 개인"이 담긴 데이터를 훔쳤다고 올리며 공격을 자처했다.²

해커의 주장과 회사가 확인한 것

샤이니헌터스는 이름, 이메일 주소, 수강 과목, 교사에게 보낸 비공개 메시지가 데이터에 들어 있고, 인스트럭처 자체 시스템의 취약점을 악용했다고 주장했다.² 같은 집단의 설명 안에서도 수치가 흔들렸다. 유출 사이트 게시글은 약 9000개 학교와 2억7500만명을 말했지만, 다른 대목에서는 약 1만5000개 기관에 걸친 2억4000만건 이상이라고 적었다.² 블리핑컴퓨터(BleepingComputer)가 5월 5일 보도한 기준으로는 8809개 대학·학군·온라인 교육 플랫폼에서 학생과 교직원 관련 2억8000만건을 훔쳤다는 주장이었으며, 해커는 캔버스의 데이터 내보내기 기능인 DAP 질의, 프로비저닝 보고서, 사용자 API를 이용했다고 했다.³ 보안업체 비트디펜더(Bitdefender)는 약 2억7500만명, 3.6TB, 약 9000개 학교라는 주장을 확인되지 않은 수치로 분류했다.⁴ 블리핑컴퓨터와 테크크런치(TechCrunch) 모두 이 주장을 독립적으로 검증하지 못했다.³⁵

인스트럭처가 확인한 범위는 이보다 좁다. 회사는 영향을 받은 기관 이용자의 이름, 이메일 주소, 학번과 이용자 간 메시지가 관련됐으며 비밀번호, 생년월일, 정부 발급 식별번호, 금융정보가 관련됐다는 증거는 찾지 못했다고 밝혔다.² 5월 8일 스티브 데일리(Steve Daly) 최고경영자의 서한은 관련 데이터 항목을 사용자명, 이메일 주소, 과목명, 수강 정보, 메시지로 정리했고, 강의 콘텐츠·제출물·자격증명 같은 핵심 학습 데이터는 침해되지 않았다고 했다.¹ 회사는 패치 배포, 모니터링 강화, 애플리케이션 키 교체를 했다고 밝혔다.²

2차 공격과 합의

5월 7일 같은 공격자가 두 번째 취약점으로 다시 들어와 일부 학생과 교사가 로그인 뒤 보는 페이지를 바꿨고, 인스트럭처는 캔버스를 유지보수 모드로 전환해 서비스를 중단했다.¹ 테크크런치는 해커가 HTML 파일을 주입해 로그인 화면에 메시지를 띄웠으며, 회사가 "합의 협상"에 나서지 않으면 5월 12일에 데이터를 공개하겠다는 내용이었다고 보도했다.⁵ 블리핑컴퓨터는 약 330개 교육기관의 로그인 포털이 변조됐다고 전했다.⁶ 인스트럭처는 무료 교사 계정(Free-For-Teacher) 환경의 지원 티켓 관련 취약점이 악용됐다고 밝히고 이 계정을 일시 중단했으며, 2차 공격은 시작 약 10분 만에 막아 추가 유출은 없었다고 했다.¹⁵ 캔버스는 5월 9일 완전 복구됐고 회사는 크라우드스트라이크(CrowdStrike)에 포렌식을 맡겼다.¹

5월 11일 인스트럭처는 "이 사고에 관련된 무단 행위자와 합의에 이르렀다"고 발표했다. 회사는 데이터를 돌려받았고 파기를 확인하는 디지털 파쇄 기록을 받았으며, 어떤 고객도 공개적으로든 비공개로든 협박받지 않을 것이라고 밝혔다.¹ 합의 조건과 금전 지급 여부는 공개하지 않았다.¹

맥락과 정부 대응

미 하원 국토안보위원회 앤드루 가바리노(Andrew R. Garbarino) 위원장은 5월 11일 인스트럭처에 서한을 보내 침해의 성격, 유출 정보의 범위, 대응 조치를 브리핑하라고 요구했다. 위원회는 샤이니헌터스가 약 9000개 기관, 수억명 이용자의 데이터라고 주장하지만 전체 규모는 조사 중이라고 적었다.⁷ 미 교육부 연방학생지원국은 5월 12일 보안 경보를 내고, 학생사생활정책실이 같은 날 인스트럭처에 학생 교육기록 보호법(FERPA) 준수 확인을 위한 정보를 요청했다고 밝혔다. 교육부는 다중 인증(MFA) 없는 계정의 위험이 드러난 사고라며 각 기관에 4월 25일부터 5월 8일 사이 로그 점검과 API 키 교체를 권고했다.⁸

인스트럭처는 5월 26일 서한에서 기관별 상세 데이터 분석에 "며칠이 아니라 몇 주, 몇 달"이 걸린다고 했고, 무료 교사 계정 제품은 영구 중단했다.¹ 7월부터 기관별 데이터를 전달하기 시작했으며, 9월 29일에는 포렌식 검토가 끝났고 남은 기관에 전달을 진행한다고 밝혔다.¹ 이용자 통보가 필요하다고 기관이 판단하면 인스트럭처가 크롤(Kroll)을 통해 대신 통보하기로 했다.¹

남은 물음

해커가 주장한 2억7500만명이라는 규모는 어느 출처에서도 확인되지 않았고, 인스트럭처는 영향받은 기관이나 개인 수를 공개한 적이 없다.¹⁸ 합의로 데이터가 실제 파기됐는지는 회사가 받은 파쇄 기록 외에 검증 수단이 없으며, 지급 금액은 알려지지 않았다.¹ 2차 공격에 쓰인 취약점의 기술적 내용도 공개되지 않았다.⁴

참고한 곳

1. Instructure, Security Incident Update & FAQs - https://www.instructure.com/incident_update ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹²

2. BleepingComputer, Instructure confirms data breach, ShinyHunters claims attack - https://www.bleepingcomputer.com/news/security/instructure-confirms-data-breach-shinyhunters-claims-attack/ ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶

3. BleepingComputer, Instructure hacker claims data theft from 8,800 schools, universities - https://www.bleepingcomputer.com/news/security/instructure-hacker-claims-data-theft-from-8-800-schools-universities/ ↩ ↩²

4. Bitdefender, Technical Advisory: ShinyHunters Breach of Instructure Canvas LMS - https://www.bitdefender.com/en-us/blog/businessinsights/technical-advisory-shinyhunters-breach-instructure-canvas-lms ↩ ↩²

5. TechCrunch, Hackers deface school login pages after claiming another Instructure hack - https://techcrunch.com/2026/05/07/hackers-deface-school-login-pages-after-claiming-another-instructure-hack/ ↩ ↩² ↩³

6. BleepingComputer, Canvas login portals hacked in mass ShinyHunters extortion campaign - https://www.bleepingcomputer.com/news/security/canvas-login-portals-hacked-in-mass-shinyhunters-extortion-campaign/ ↩

7. U.S. House Committee on Homeland Security, Chairman Garbarino Seeks Information from Canvas Developer After Cyberattacks Impact Schools and Universities Nationwide - https://homeland.house.gov/2026/05/11/chairman-garbarino-seeks-information-from-canvas-developer-after-cyberattacks-impact-schools-and-universities-nationwide/ ↩

8. U.S. Department of Education Federal Student Aid, Technology Security Alert: Ongoing Cybersecurity Incident Involving Canvas Learning Management System - https://fsapartners.ed.gov/knowledge-center/library/electronic-announcements/2026-05-12/technology-security-alert-ongoing-cybersecurity-incident-involving-canvas-learning-management-system-updated-may-29-2026 ↩ ↩²