'Universiteiten benaderen ShinyHunters om datalek na Canvas-hack te voorkomen'

Verschillende universiteiten overwegen ShinyHunters te betalen om te voorkomen dat de hackers data lekken. Dat schrijven beveiligingsonderzoeker Brian Krebs en Reuters. ShinyHunters hackte recent Canvas, een onderwijsplatform dat door duizenden scholen en universiteiten wereldwijd wordt gebruikt.

'Een aantal universiteiten' heeft ShinyHunters benaderd over het betalen van het losgeld. Dat schrijven Krebs en Reuters, op basis van 'een anonieme bron die betrokken is bij het onderzoek'. De media noemen geen aantallen. Het is ook niet duidelijk waar de universiteiten zich bevinden en of ook Nederlandse of Belgische universiteiten ShinyHunters hebben benaderd.

ShinyHunters hackte eind vorige maand Instructure, de ontwikkelaar van Canvas. Hierbij zijn berichten tussen leerlingen en leraren gestolen, naast namen, e-mailadressen en studentennummers. ShinyHunters claimt ook telefoonnummers te hebben bemachtigd.

Instructure had in ieder geval eind vorige week nog geen contact opgenomen met ShinyHunters; de groep hackte Canvas eind vorige week daarom opnieuw. Hierbij dreigden de hackers op 12 mei data te lekken als er niet werd betaald. Scholen konden hierbij ook direct contact opnemen met ShinyHunters, stond in het bericht. Na dit bericht haalde Instructure Canvas urenlang offline.

Na die tweede hack besloten verschillende Nederlandse onderwijsinstellingen voorlopig te stoppen met Canvas, meldt de NOS. Leerlingen kunnen daardoor niet langer Canvas gebruiken om opdrachten in te leveren, of lesmateriaal of cijfers in te zien. De hack op Canvas verstoort het onderwijs dus ook en kan ervoor zorgen dat deadlines of hele tentamens uitgesteld worden.

ShinyHunters is in Nederland vooral bekend van de Odido-hack eerder dit jaar, maar hackte recent ook Rockstar Games, de Europese Unie en PornHub.

Reacties (34)

[joyrider3774]

waarom wordt betalen gewoonweg niet verboden ? Eigenlijk steun je misdaad op deze manier en vraag me of dat al niet door de beugel kan

[Blokker_1999]

Omdat principes van aan de zijlijn altijd leuk zijn. Totdat je op een dag zelf voor de keuze komt te staan en je ineens realiseert dat principes op zo een moment een luxe zijn die je op dat moment niet meer hebt.

Stel je even voor. Je bent CEO van een onderneming die een omzet draait van een half miljard per jaar, die 3000 mensen tewerk stelt. Je doet niets verkeerd, je IT heeft een gezond budget van 8% van je totale jaarbudget. Je hebt een goed security team dat onafhankelijk zijn werk kan doen, een CISO die je vertrouwt en rechtstreeks aan jouw rapporteert. Jaarlijks goede rapporten op gebied van veiligheid. En ineens zitten die hackers binnen.

Ze eisen 50 miljoen van je, de helft van je verwachte jaarwinst. Al je systemen liggen stil. Niemand kan nog werken en als je niet binnen de week weer aan het werk bent hangt er je een boeteclausule van je klanten boven het hoofd die wel eens het einde van je onderneming kan betekenen. Ondertussen geeft je ICT dienst aan dat de backups van de laatste weken ook geinfecteerd lijken te zijn en je die data dus ook niet zomaar kunt herstellen, en zonder die data kan je niet verder.

Wat ga je doen, boeken toe uit principe, gewoon omdat je die hackers dat geld niet gunt? Je levenswerk de vuilbak in, 3000 mensen op straat met mogelijks nog eens duizenden anderen die in andere bedrijven hun job kunnen verliezen. Of denk je op dat moment dat je misschien beter kunt betalen, je data terug halen, je bedrijf laten doorwerken en weten dat je criminelen hebt gefinancierd.

Zoals gezegd. Principes hebben is eenvoudig, totdat het je treft en je voor die verschikkelijke keuze komt te staan.

[Deezers]

En de politie maar roepen: criminaliteit mag niet lonen. Als je ze betaald doet dat het dus juist wel. Deze hackers maken precies zoals je zegt heel gericht werk van volgende slachtoffers uitzoeken en kijken hoe ver ze kunnen gaan en vaak bij organisaties die geen keuze hebben of waar anderen sterk van afhankelijk zijn of hele diepe zakken hebben. Waar het voorheen de slager op de hoek was met rammelende IT, gaan ze nu meteen voor de grote haaien / toeleveranciers. Hoe groter de druk/ophef van buitenaf, hoe groter de kans dat ze ook daadwerkelijk betaald krijgen.

[Reactie gewijzigd door Deezers op 10 mei 2026 11:56]

[PeterPluijms]

Hier is overigens wel een oplossing voor: stel betalen strafbaar met forse gevangenisstraffen zodat niemand meer betaalt. Dan is het businessmodel weg en wordt het een stuk minder aantrekkelijk.


Daarbij blijft het een taai verhaal, ik zit zelf ook in de security van een grote instelling en hou altijd het mantra aan: de vraag is niet of maar wanneer je een keer voor de bijl gaat. We proberen de kans daarop zoveel mogelijk te beperken en de gevolgschade als het gebeurt ook. Maar wie weet hoe wij er dan bij staan met als onze goede bedoelingen.

[lucatoni]

Het business model is dan helemaal niet weg. Die data kan op andere manieren gebruikt worden om geld te verdienen. Denk aan de zwarte markt, en als dat niets oplevert de data gebruiken om media aandacht en verwarring te creeren, en naamsbekendheid te creeren. Heel Nederland kent deze groep.

[_eLMo_]

In het geval van deze universiteiten gaat het om een datalek, niet om het niet meer functioneren van de systemen toch?
Ik mag hopen dat ze daarvoor niet gaan betalen, die data is al gelekt.

[xenn99]

Omdat principes van aan de zijlijn altijd leuk zijn. Totdat je op een dag zelf voor de keuze komt te staan en je ineens realiseert dat principes op zo een moment een luxe zijn die je op dat moment niet meer hebt.

En dat is precies de reden dat het verboden moet worden.
Om dit soort incapable CEO's de keus te ontnemen.
Als het simpelweg geen optie meer is kun je daar vooraf rekening mee houden.
Als dat dan niet lukt dan is dat IT Team dat je vertrouwde blijkbaar toch niet zo capabel, dat is dan jouw eigen schuld, jij hebt ze immers aangenomen.
Ik vind het zo makkelijk om maar te zeggen ja we konden er niks aan doen, dat is zeker in IT, bijna altijd onzin.

[Pasteis]

waarom wordt betalen gewoonweg niet verboden ? Eigenlijk steun je misdaad op deze manier en vraag me of dat al niet door de beugel kan

Klinkt leuk en misschien kan je dat als enkel land wel organiseren, maar om te slagen zullen veel meer landen dat moeten doen.

Bovendien. Het is makkelijk praten langs de zijlijn.

[Monday]

Tja zo zie je maar weer dat misdaad loont, misschien is het voor de grote bedrijven beter om jaarlijks een test te laten doen door een security bedrijf die hierin is gespecialiseerd? Gebeurd met de beurs ook regelmatig dan wel.

[Triblade_8472]

Wie zegt dat dat niet gebeurt?

Er zijn ook vele certificeringen die alle bedrijven hebben en toch worden ze gehacked.

Sterker nog, naar mijn mening zijn de meeste certificeringen een wassen neus. Er wordt mee gesmoemeld bij het leven en de inhoud is ook niet echt geweldig. Veelal risicobeheersing, maar nergens technische kennis om dit ècht te toetsen. Er zitten ook veel vriendjes van elkaar in datzelfde circuit. Er zitten genoeg goede bij, vast wel, maar ik heb ook anders gezien en gehoord.

[closefuture]

Er wordt mee gesmoemeld bij het leven en de inhoud is ook niet echt geweldig. Veelal risicobeheersing, maar nergens technische kennis om dit ècht te toetsen.

Een standaard als ISO 27001 is opzich een prima risico management framework. Mits je daadwerkelijk erin zit om er wat van te leren, maar de meeste partijen willen gewoon een certificaat aan de muur "omdat de klant erom vraagt". ISO auditors zijn veel al niet technisch en focussen zich vooral dus op de niet technische zaken van information security, de tastbare zaken zoals een clean desk policy. Daarnaast heeft ISO ook de eis laten varen dat een ISO auditor minimaal 4 jaar ISO ervaring moest hebben, en daarmee is (al zegt ISO natuurlijk van niet) de kwaliteit van auditors nog verder omlaag gegaan.

Dus de standaard is een goede template om te werken, maar in de praktijk willen bedrijven niet zo werken. Ze willen een certificaat.

[Triblade_8472]

Precies, gezien bestuurders verantwoordelijk zijn gemaakt voor hun omgeving, zullen er alleen maar meer "schijncertificaten" komen. Voor de vorm dus.

Wat ik hoop is dat er veel meer onafhankelijke controleinstanties komen die certificeringsinstanties aan kunnen pakken. Al zal je altijd wel ergens een kink in de kabel hebben...

[TerminalNL]

Daarom is het ook belangrijk om te kijken wie het certificaat heeft afgegeven.

Dit gaat met alles rondom certificaten op. Het zou niet zo moeten zijn, maar toch zit daar verschil in. Daarom zie je ook dat de serieuze partijen ook naar de serieuze stappen voor een certificaat.

Waarbij ook nog eens het zo is dat een 27001 en 9001 net zo moeilijk of makkelijk zijn hoe je het zelf vormgeeft.

[batjes]

Certificeringen hebben de waarde die de organisatie er zelf aan hecht. De audits zijn wel zelfverbeterend, maar slaan tegelijkertijd eigenlijk ook nergens op.

Audits graven nooit diep genoeg en de meeste bedrijven met zo'n certificering doen 1 dag per jaar "clean desk policy, kasten dicht, alles netjes'-beleid voeren.

[theduke1989]

Dat kun je natuurlijk niet zo stellig stellen.

Persoonlijk heb ik ook altijd het gevoel dat het bedrijf waar ik werk zeer goed beveiligd is. We beschikken over een gespecialiseerd team dat continu CVE’s, Rapid7, Microsoft Defender en diverse andere security-oplossingen monitort. Daarnaast draaien er actieve honeypots en vinden er wekelijks meerdere overleggen plaats met Group IT om de beveiligingsscores van alle systemen te evalueren. Systemen met verhoogde risico-indicatoren worden nog dezelfde week gepatcht. Verder hanteren wij een strak patchbeleid waarbij er tweemaal per maand updates worden uitgerold: één keer een week na Patch Tuesday en nogmaals twee weken later.

Desondanks zou ik nooit beweren dat een organisatie “niet hackbaar” is. Die uitspraak kun je simpelweg niet garanderen. Wij zijn bovendien een portfoliobedrijf dat regelmatig portefeuilles van verzekeraars overneemt. In sommige gevallen nemen we ook infrastructuur over; deze wordt direct in een aparte DMZ-omgeving geplaatst en uitgebreid gecontroleerd op malware, verdachte PST-bestanden en andere risico’s. In de meeste gevallen gaat het echter uitsluitend om de portfolio’s zelf.

De realiteit is dat informatiebeveiliging een continu proces blijft en nooit volledig waterdicht is. Zeker met de komst van DORA-regelgeving ligt de lat nog hoger en moet vrijwel ieder potentieel security-incident formeel worden geregistreerd en opgevolgd, vaak zelfs direct als een P1-incident.

[Blokker_1999]

Wij laten meerdere pentests per jaar uitvoeren en volgen de aanbevelingen op die uit zulke tests komen, tenzij we goede redenen hebben om het niet te doen en het risico op een andere manier afdekken. Maar we zien ook elke keer dat er telkens andere manieren gevonden worden om toch weer redelijk ver te komen. En je moet eens een pentest laten uitvoeren met een drop van USB sticks in en rond het gebouw. Ook altijd leuke resultaten.

En de kans dat een hacker binnen geraakt in je systemen is sowieso vrij groot als ze voldoende tijd en doorzettingsvermogen hebben. Vergeet niet dat vele hacks vandaag beginnen met social engineering. Iemand die een bijlage opent die geinfecteerd is, een helpdesk die een wachtwoord reset van een gebruiker of een receptioniste die veel te loslippig is aan de telefoon en zo te veel informatie doorspeelt die weer misbruikt kan worden.

En met de huidige en aankomende wet- en regelgeving worden bedrijven meer en meer verplicht om te investeren in beveiliging en moet men meer en meer kunnen aantonen de nodige stappen te ondernemen. Pentests zullen daar zeker ook voor meer en meer bedrijven onderdeel van worden. Maar zulke testers zijn beperkt in hun mogelijkheden en tijd en kunnen nooit alles vinden en zijn ook niet zaligmakend. Want ze hebben hun rapport nog niet opgeleverd of je omgeving is alweer gewijzigd.

[Pasteis]

Het probleem zit 'm veelal in dat het bestuur de risico's accepteert. De stortvloed van de laatste maanden en de komende regelgeving kunnen hier echter verandering in aanbrengen.

CISO's worden al snel als irritant en duur weggezet, maar ik denk dat ze in hun handen wrijven met het nieuws van de laatste tijd.

[Rikkert86]

Garanties heb je helaas nooit. Het is en blijft risico afweging, waarin altijd (helaas) 'accepted risks' zullen zitten. Een bank kan theoretisch ook zijn pin apparaat in een bunker met 20 meter dikke muren stoppen om het risico op bijv ramkraken te mitigeren, maar dit zijn onrealistische maatregelen. Maatregelen kunnen altijd maar tot een bepaalde hoogte realistisch worden genomen. Mijn inziens zit de grootste tekortkoming in kennis en educatie van de individu. Het gros van de hacks begint nog steeds bij eindgebruikers.

[neversium]

Het zal vast hier en daar helpen, en voor een eventuele verzekering ook verplicht, maar je kunt je niet tegen alles beschermen, en tijdens zo'n test worden meestal alleen huidige bekende zwakheden getest/gecontroleerd. En binnen een jaar zullen verschillende open-source large language modellen dit op gigantische schaal kunnen uitvoeren, en het zou me niet verrassen als Shinyhunters daar nu al gretig gebruik van maakt.

[Floort]

Je zal maar gehackt zijn en tijdens herstel en/of onderhandelingen zit je eigen personeel of je extern ingehuurde hulp ook nog naar de pers te lekken.

[Zyppora]

Je zal maar gehackt zijn en vervolgens diezelfde hackers daar nog voor willen betalen ook.

[Floort]

Ik vrees dat het selectief openbaren dat een deel wel betaald heeft vooral extra druk zet bij degenen die dat nog niet gedaan hebben.

[_eXistenZ_]

Zij die betalen houden het probleem in stand.

[JJ Le Funk]

kwaliteit van onderwijs staat al jaren onder druk, maar even een paar ton (of gaat het over miljoenen?) aan bitcoin weggeven aan criminelen om het eigen imago te redden is kennelijk geen probleem. dan zie je toch dat wetgeving dit zou moeten verbieden. en misschien ook wat wetgeving om grote bedragen die blijkbaar op de plank liggen te investeren in het eigen systeem.

[Jonathan-458]

Het gaat denk ik niet zo zeer om het imago van de instituten dan de hoeveelheid vertrouwelijke communicatie via het platform.

De hacks van de laatste tijd zijn van ongekende grote en maken targeted hacking en social engineering enorm gemakkelijk op grote schaal.

[HummerHealey]

En zo zorgen men voor het budged voor de volgende hack. Een goed werkend business model, lage pak kans en lage straffen.

[Pasteis]

ShinyHunters hackte recent Canvas, een onderwijsplatform dat door duizenden scholen en universiteiten wereldwijd wordt gebruikt.

Hoe kan het zo zijn dat er een platform gehackt wordt, waardoor vervolgens duizenden scholen en universiteiten slachtoffer kunnen zijn? Ik ken Canvas niet, maar betekent dit dat alles in een public cloud omgeving en database zat?

Of hoe moet ik het zien?

[Triblade_8472]

Wat je kan lezen in de (gelinkte) bronnen is dat het een messaging platform is, maar ook cijfers bevat en voor het uitwisselen van documenten (insturen van essays enzo)

[Triblade_8472]

De universiteiten: wij betalen iedere crimineel die ons bedreigd. Kom maar geld te over, hack ons graag nog een keer!


Elke cent die ze betalen dienen ze geminderd te worden in subsidie wat mij betreft. Wellicht 2x als boete.

Ja ik weet dat het niet verboden is, maar dat zou van mij wel mogen. Het nodigt alleen maar uit op deze manier. En ik blijf dit herhalen bij elke onderhandeling over geld. Dit. Moet. Stoppen.

[stanny]

Alleen zijn de universiteiten hier niet de oorzaak van het probleem, maar Canvas.
De universiteiten zijn eigenlijk ook slachtoffer in dit geval en overwegen te betalen om de eind-slachtoffers te proberen beschermen ondanks dat hen geen schuld treft.

Ik ben het 100% eens dat betalen geen juiste oplossing is, maar ik snap de universiteiten ook wel.

[Triblade_8472]

De eerste zin is "Verschillende universiteiten overwegen ShinyHunters te betalen" Dan zijn, wat mij betreft, de universiteiten wèl het probleem.

Je kan best een slachtoffer èn het probleem tegelijk zijn hoor. Beschermen is allemaal leuk en aardig, maar waar waren zij dan met de controles vooraf bij hun leveranciers? Achteraf is lekker makkelijk praten.

Ik weet vrij zeker dat er geen enkele universiteit gevraagd heeft om (dure) onafhankelijke codechecks en pentests te laten uitvoeren. Achteraf betalen en met je vinger wijzen en wapperen is veel makkelijker hé?

[The Zep Man]

Alleen zijn de universiteiten hier niet de oorzaak van het probleem, maar Canvas.
De universiteiten zijn eigenlijk ook slachtoffer in dit geval en overwegen te betalen om de eind-slachtoffers te proberen beschermen ondanks dat hen geen schuld treft.

De onderliggende reden is dat universiteiten verantwoordelijk blijven voor de verwerking van persoonsgegevens van studenten en personeel. Die verantwoording zelf kan niet uitbesteed worden aan een derde partij.

Nog steeds is betalen hooguit uitstel van executie m.b.t. het lekken van persoonsgegevens van de slachtoffers. Tegenwoordig worden persoonsgegevens via zoveel bronnen gelekt dat een datalek meer of minder nauwelijks verschil maakt. Waar een maatschappij beter op in kunnen zetten is strafrechtelijke vervolging bij nalatenschap van het adequaat omgaan met persoonsgegevens (zoals bij Odido). Data is a toxic asset, dus behandel het zo.

[mark777]

Lijkt me een goed plan om digitale bestanden allemaal offline te houden. Kunnen ze ook niet gehackt worden

[pyro-tukker]

Misschien een interessant feit voor de mensen hier. Maar verzekeraars (mits je goed verzekerd bent voor cyberrisico’s) kijken ook vanuit de ondernemer naar dit soort casussen. Als het voor een bedrijf voordeliger is om te betalen aan de hackers, dan betaald de verzekaar (deels) mee.

Persoonlijk snap het argument van niet betalen. Je houdt het instand. Maar ik sluit mij volledig aan bij @Blokker_1999 De realiteit en de real life consequenties zijn toch echt stevig als je niet betaald. Waarbij ik overigens mij afvraag of je als bestuurder wel de keuze hebt. Vaak heb je een bepaalde viduciaire plicht en dat zorgt ervoor dat je altijd in organisatie belang moet denken en niet aan ‘persoonlijke principes’. Ik vraag mij zelf af of er voorbeelden zijn dat wanneer je als bestuurder niet betaald en je organisatie gaat faillet dat dit tot bestuurdersaansprakelijkheid kan leiden.