ShinyHunters: 275 milhões de registros de alunos expostos

Na manhã do dia 7 de maio de 2026, estudantes de pelo menos 330 universidades ao redor do mundo tentaram acessar o Canvas — o sistema de gestão de aprendizagem mais usado no ensino superior americano — e encontraram a tela de login substituída por uma mensagem de extorsão. Não era um erro de servidor. Era o grupo ShinyHunters avisando que tinha 3,65 terabytes de dados e que a Instructure tinha até o dia 12 para pagar. Essa cena, multiplicada por centenas de portais institucionais, resume bem o nível a que chegou a campanha do grupo em abril e maio de 2026.

Quem são os ShinyHunters

O ShinyHunters não é novo. O grupo opera desde pelo menos 2020, quando ficou conhecido por vender bases de dados roubadas em fóruns da dark web — Microsoft, Tokopedia, Wishbone, entre outras. A mudança de 2026 foi a adoção em massa do modelo "pay or leak": em vez de simplesmente vender os dados, o grupo passou a extorquir as vítimas diretamente, com prazo, contador regressivo e ameaça de publicação.

É o mesmo princípio operacional do ransomware tradicional — travar arquivos e cobrar para desbloquear — mas sem criptografia de sistemas. O alvo deixou de ser a infraestrutura e passou a ser a reputação e a conformidade regulatória da vítima. Para uma universidade que lida com dados de menores de idade, a ameaça de vazamento público é tão paralisante quanto um sistema travado.

Como o ataque ao Canvas aconteceu

A Instructure, empresa responsável pelo Canvas LMS, confirmou que o acesso não autorizado ocorreu em 25 de abril de 2026. Quatro dias depois, a empresa detectou a intrusão, revogou o acesso e acionou uma equipe externa de forense digital. Em 1º de maio, publicou um comunicado no status page reconhecendo o incidente.

Em 3 de maio, os ShinyHunters assumiram a responsabilidade publicamente, afirmando ter extraído 3,65 TB de dados cobrindo aproximadamente 275 milhões de usuários — estudantes, professores e funcionários de perto de 9 mil instituições de ensino. A lista de escolas impactadas, compartilhada com o BleepingComputer, incluía desde distritos escolares de ensino fundamental até grandes universidades, com contagens por instituição que variavam de dezenas de milhares a vários milhões de registros.

Uma segunda onda de atividade foi detectada em 7 de maio: o grupo desfigurou portais de login do Canvas em cerca de 330 instituições, exibindo mensagens de extorsão diretamente nas páginas de acesso. O objetivo era pressionar a Instructure com visibilidade pública máxima. O prazo final dado ao grupo foi 12 de maio.

Em 11 de maio, segundo o Inside Higher Ed, a Instructure confirmou ter chegado a um acordo com o grupo e afirmou que os dados comprometidos foram destruídos. Verificar essa destruição de forma independente é, na prática, impossível.

O que foi roubado — e o que não foi

A Instructure divulgou que os dados expostos incluem nomes, endereços de e-mail, números de identificação de estudantes e mensagens trocadas entre usuários dentro da plataforma. A empresa afirmou não ter encontrado evidências de que senhas, datas de nascimento, documentos de identidade governamentais ou dados financeiros fizeram parte do vazamento.

Isso importa, mas não elimina o risco. Um banco de dados com nome completo, e-mail institucional e ID de estudante é matéria-prima suficiente para campanhas de phishing altamente segmentadas. Um atacante que sabe que você estuda em determinada universidade, qual é seu e-mail acadêmico e tem acesso às mensagens que você trocou com professores tem o suficiente para construir um pretexto convincente — se passando por suporte de TI da instituição, por exemplo, pedindo que você redefina sua senha em um link falso.

Quem frequentou uma das configurações de DNS criptografado como o NextDNS pode adicionar proteção de rede contra domínios de phishing recém-registrados, mas o vetor principal aqui é o e-mail, não o DNS — e e-mail exige atenção ao remetente, ao domínio e ao contexto da mensagem.

A campanha é maior do que o Canvas

O ataque à Instructure não foi um evento isolado. O ShinyHunters operou uma campanha de extorsão coordenada ao longo de abril e maio de 2026, atingindo vítimas em setores completamente diferentes:

• Udemy: em 24 de abril, o grupo listou a plataforma de cursos online como vítima, alegando ter obtido mais de 1,4 milhão de registros, incluindo dados de pagamento de instrutores (PayPal, transferências bancárias). Segundo o CyberNews, o prazo para pagamento foi 27 de abril.
• Vimeo: em 28 de abril, a plataforma de vídeos confirmou que os dados pessoais de mais de 119 mil usuários foram expostos. O vetor foi um provedor de analytics terceirizado, a Anodot — não um ataque direto à Vimeo. Após o fracasso das negociações, o grupo liberou cerca de 106 GB de documentos.
• Medtronic: o fabricante de dispositivos médicos confirmou um ataque em que o ShinyHunters alega ter obtido mais de 9 milhões de registros, incluindo dados pessoais e corporativos, com ultimato de pagamento ou exposição pública.

O caso da Vimeo merece atenção especial porque o vetor de entrada foi um fornecedor terceiro — não a Vimeo em si. É o mesmo padrão que vimos no ataque de supply chain ao JDownloader em maio: comprometer a cadeia de fornecimento é frequentemente mais fácil e mais rentável do que atacar a empresa principal diretamente, porque organizações maiores tendem a ter controles mais robustos do que seus fornecedores menores.

O que instituições e usuários podem fazer

Para quem gerencia infraestrutura de TI em instituições de ensino ou empresas que usam plataformas SaaS de terceiros, a lição prática desse ciclo de ataques é sobre gestão de risco de fornecedores:

• Inventário de terceiros com acesso a dados sensíveis: saber quais fornecedores processam ou armazenam PII dos seus usuários é o pré-requisito de qualquer programa de segurança. O que você não sabe que existe, você não consegue proteger.
• Cláusulas contratuais de notificação de incidente: o prazo entre a intrusão (25 de abril) e a notificação pública (1º de maio) foi de seis dias. Para muitas jurisdições e tipos de dado, isso já configura violação de prazo legal.
• Plano de resposta a incidentes com script de comunicação: quando 330 portais de login exibem mensagens de extorsão, a pergunta que vai chegar da reitoria ou do conselho não é técnica — é de reputação. Ter o script pronto importa tanto quanto ter o runbook técnico.

Para usuários individuais afetados pelo Canvas: fique atento a e-mails que mencionem sua instituição, seu curso ou conteúdos que você costuma discutir na plataforma. Mensagens muito específicas sobre o seu contexto acadêmico não são necessariamente de remetentes legítimos — podem ser o mesmo princípio de confiança que o ILOVEYOU explorou em 2000: você clica porque parece que veio de alguém ou de algum lugar que você reconhece.

Pagar o resgate resolve?

A Instructure pagou e afirma que os dados foram destruídos. A questão é que não existe como verificar isso de forma independente — a palavra do grupo extorsionário é a única garantia disponível. A The Hacker News reporta o acordo, mas nenhuma empresa de forense independente confirmou a destruição dos arquivos.

Do ponto de vista operacional do grupo, destruir os dados após o pagamento pode ser até do interesse deles — manter a reputação de que "quem paga recebe o que foi prometido" aumenta as chances de pagamento futuro por outras vítimas. Mas é uma decisão tomada no escuro, sem garantias reais.

O padrão que se repete em campanhas como essa é que pagar não remove o risco de reuso dos dados: cópias podem existir, membros do grupo podem ter saído antes do acordo, ou os dados podem ter sido parcialmente compartilhados antes da negociação encerrar. A única certeza é que não pagar garante o vazamento; pagar não garante a destruição.

Se sua instituição usa o Canvas e você quer verificar se seu e-mail foi exposto em algum vazamento documentado, o Have I Been Pwned (haveibeenpwned.com) costuma indexar grandes breaches publicamente confirmados. Para o Canvas, monitore o status page oficial da Instructure e os comunicados formais da sua instituição — que é obrigada, em muitos países, a notificá-lo diretamente caso seus dados estejam confirmados como expostos.