Canvas（Instructure）の情報漏えい：履修情報とメッセージの流出で学生・教員・学校がやること

Instructureは、データを学校ごとに、学校が登録したセキュリティ担当者へ届けています。学生と家族には「質問は所属する学校へ」と案内しています。気になる場合は、学校のIT担当や教務の窓口に問い合わせてください。

学校が本人への通知が必要と判断した場合は、学校に代わってInstructureが外部の委託先を通じて通知する仕組みがあり、地域によっては無料の身元監視サービス（24か月）が案内されることもあります。そうした案内が届いたら、学校の公式サイトやポータルで同じ案内が出ているかを確かめてから手続きしてください。

氏名・メールアドレス・履修している授業がそろうと、「課題の再提出」「成績の確認」「履修情報の更新」「情報漏えいのお詫びと補償」といった本物らしい連絡が作れます。メールやSMSのリンクからログインせず、いつも使っている学校のCanvasのアドレスやアプリを自分で開いて確認してください。パスワードや多要素認証のコードを聞いてくる連絡には答えません（見分け方は フィッシングとは）。

メッセージは対象の項目に含まれています。過去にCanvasのメッセージでパスワード、他のサービスのログイン情報、住所や電話番号、体調や家庭の事情などを送った覚えがあれば、その内容は知られた前提で考えます。パスワードやログイン情報ならそのサービスで今すぐ変更し、個人的な事情なら、それを材料にした連絡が来ても応じないよう心に留めておきます。

Instructureは、認証情報が侵害された証拠はないとしています。そのうえで、学校の統合ログイン（SSO）や多要素認証を使っていない場合を挙げて、パスワードの変更を勧めています。Canvasと同じパスワードを他で使っているなら分けてください。学校が多要素認証を用意しているなら有効にします（パスワードマネージャーの選び方 ／ 多要素認証の選び方）。

コース名と履修情報がそろうと、教員を名乗って学生に、あるいは学生や事務を名乗って教員に送る連絡が作りやすくなります。授業の連絡はCanvasの中のお知らせ機能など、決まった手段でしか出さないことを学生に伝えておくと、それ以外から来た連絡を学生自身が疑えるようになります。

教員と学生のやり取りも対象の項目に含まれます。過去のメッセージに学生の配慮事項、健康状態、家庭の事情などを書いた覚えがあれば、学校のIT担当や個人情報の担当者に伝えてください。Instructureによれば、利用者への通知が必要かどうかを判断するのは学校で、メッセージの調査結果が出たら判断を見直す必要があるかもしれないとしています。判断の材料を持っているのは、書いた教員自身です。

今後、パスワードや個人的な事情のように漏れたら困る情報は、学校が定めた別の方法で扱います。LMS（学習管理システム）のメッセージは授業の連絡のための場所で、知られると困る情報を送る場所ではありません。

今回、Canvasは5月7日にメンテナンスモードで一時停止し、学期末の授業に影響が出ました。Instructureは、コースのエクスポート機能やAPIなどでデータを外部に保存できると案内しています。学期の区切りごとにコースをエクスポートしておくだけで、次に止まったときの影響が小さくなります。無料版（Free-for-Teacher）は恒久的に終了し、資料をダウンロードできる期間（5月28〜29日、7月28〜29日）も終わっています。

Instructureは、影響を受けた学校のデータを、Canvasのアカウント設定で登録されたセキュリティ担当者（最大2人）に届けています。登録は共有アドレスや配信リストではなく個人で、Canvasのインスタンスが複数あるならインスタンスごとに必要です。締め切りを過ぎても登録すれば、隔週で追加の配信が行われるとしています。

届いたデータのリンクは30日で失効するため、必要ならダウンロードして保存してください。届かない場合の理由は3つ（担当者が未登録、対象がメッセージだけで配信待ち、追加調査の結果その学校の利用者記録は含まれていなかった）で、どれに当たるかはInstructureに問い合わせれば確認できます。

Instructureは、ユーザー情報と登録（プロビジョニング：アカウントやコースへの登録）情報については多くの法域で個人への通知は不要というのが同社の見解だとしつつ、学校が必要と判断すれば学校の同意を得たうえで外部の委託先を通じて通知を代行するとしています。メッセージは別に調査が続いていましたが、9月29日にデータの鑑識調査の完了が発表されました。同社は、メッセージが含まれる学校は、その結果を受けて通知の判断を見直す必要があるかもしれないとしています。

データ配信や通知代行のメールの送信元アドレスは、Instructureの顧客向けFAQに掲載されています。届いたメールの中の情報ではなく、公式ページの記載と照合してください。

Instructureによれば、各学校のログには4月25日〜30日と、5月7日の短時間に、Canvasのカスタマーサポート担当者のアカウントからのアクセスが残っている可能性があります。多数のコースやユーザーに短時間で次々とアクセスしている、ふだんサポートが触らないアカウントやコースに触れている、といった動きがあり、その時期に自校が出した正当なサポート依頼と対応しないなら、攻撃者の活動の可能性があるとしています。

確認にはCanvas Dataや管理者のアクセスログが使えます。侵害の痕跡（IOC）をまとめた調査会社の暫定資料は、Instructureのコミュニティで公開されています。

Instructureは、認証方式にかかわらず多要素認証を勧め、すべての管理者でCanvasの多要素認証を有効にすることを推奨しています。学校の統合ログイン（SSO）を使っている場合は、認証を担う側（IdP）の方針で多要素認証を強制するのが基本だとしています。Canvas独自のログインのアカウントは、Canvasの多要素認証を全員または管理者だけに有効にできます。

Instructureは、連携先の認証情報やAPIキー、開発者トークンが持ち出された証拠はないとして、一律の作り直しや再発行は求めていません。ただし、学籍システム（SIS）との同期が止まった場合は、同社側で連携用の認証情報が更新（ローテーション）された可能性があるとして、新しい認証情報を同社に求めるよう案内しています。任意でAPIキーの再発行や連携の再認可を行うこともできます。この機会に、期限のないトークンや使っていない開発者キーを棚卸ししてください。

Canvasが止まったのは学期末でした。Instructureは、API、Canvas Data、コースのエクスポート、標準形式でのエクスポートを使って学校側で独立したバックアップを取れると案内しています。どのデータを、どの頻度で、Canvasの外のどこに保存するか、LMSが数日止まったら課題の受け付けや成績の提出をどうするかを、次の学期の前に決めておきます（考え方は バックアップの基本）。