上周，留学生圈经历了一场大型“赛博地震”。
​不是学校突然良心发现取消 Final，不是教授大发慈悲延长 DDL，而是Canvas 被黑了。

就是那个你每天打开无数次，用来看课件、交作业、查成绩、收通知的 Canvas。

不少学生登录后发现，熟悉的课程卡片没了，页面上出现了一段黑客组织 ShinyHunters 留下的勒索信息。

大意是：“我们又进入了 Instructure 系统。你们没有联系我们，只是打了几个安全补丁。如果想阻止数据泄露，就来谈。”

这一刻，很多留学生彻底绷不住了。

有人正准备提交论文，

有人正在做线上考试，

有人刚想下载期末复习资料，

还有人连作业题目都没看完。

结果页面一刷新，Canvas 直接白屏。

这已经不是普通系统故障了。
这是期末周专属精神攻击。

根据 Instructure 官方更新，Canvas 在 2026 年 4 月 29 日检测到未授权活动，5 月 7 日又发现相关异常，部分学生和老师登录时看到的页面被篡改。

官方称，受影响信息可能包括用户名、邮箱、课程名称、注册信息和站内消息，但目前没有证据显示课程内容、作业提交、账号密码等核心数据被攻破。

01

Canvas 为什么一崩，留学生就像“断网断氧”？

没用过 Canvas 的人可能不理解：

“不就是一个上课软件吗？”

但留学生都懂，Canvas 不是普通软件。

它更像是整个学期的“学业中控台”。

你要看课件，去 Canvas。

你要交作业，去 Canvas。

你要查成绩，去 Canvas。

你要看老师通知，去 Canvas。

你要做 quiz，还是去 Canvas。

平时嫌它提醒多，
期末求它别崩。

尤其是 Final 周，Canvas 的重要程度直接拉满。

Lecture slides 在里面，

reading list 在里面，

assignment brief 在里面，

考试说明也在里面。

所以这次 Canvas 出事，不只是一个学习平台打不开，而是很多学生突然发现：自己的 Final、DDL、GPA，原来都挂在一个第三方系统上。

美联社也提到，这次事件发生在不少学校的期末季，部分学生无法访问复习资料、作业和课程内容，老师也不得不临时寻找替代方案。

02

“2.75 亿条数据泄露”？先别急着下结论

这次事件里，网上传播最广的几个数字是：

约 9000 所学校受影响。
约 2.75 亿条记录被盗。
数据体量高达数 TB。

听起来非常吓人。

但这里要讲清楚：这些数字主要来自黑客组织 ShinyHunters 的说法，以及部分媒体和安全网站的转述。

Instructure 官方目前确认的是：Canvas 确实发生了未授权访问，部分信息存在风险，但具体影响范围仍在调查中。

所以更准确的说法是：Canvas 确认发生安全事件；黑客声称掌握大规模数据；官方确认部分用户信息和消息字段可能受影响，但完整泄露范围还需要等待进一步调查。

The Verge 报道称，ShinyHunters 声称事件影响约 9000 所学校、约 2.75 亿人数据；Instructure 后来表示，问题与 Free-For-Teacher 账户相关，并临时暂停了相关账户。

03

不是偷数据，而是直接改首页

ShinyHunters 这个名字听起来有点像游戏公会，但他们在网络安全圈并不陌生。

据多家媒体报道，这个组织曾与 Ticketmaster、AT&T、Rockstar Games、ADT 等数据事件联系在一起。

这次他们最狠的地方，不是悄悄拿数据，而是直接把勒索信息挂到了 Canvas 页面上。

这招非常“杀人诛心”。

因为它精准卡在了学生最脆弱的时候：

期末周。

交作业前。

考试中。

查成绩时。

你凌晨两点打开 Canvas，本来只是想下载 final review。

结果页面告诉你：“你的学校数据可能要被泄露了。”

这已经不是网络攻击。

这是期末周精准破防。

04

留学生反应大赏：

有人崩溃，有人狂喜，有人开始许愿

Canvas 被黑后，留学生的反应非常真实。

第一类：赶 due 的人。

他们最崩溃：“我就差最后一步提交，你现在给我崩？”

论文写完了，格式排好了，文件也准备好了，结果提交入口没了。

这感觉就像跑完马拉松，距离终点线三米，终点突然拆了。

第二类：作业还没开始的人。

他们的心情就很复杂：“黑客老师，您来得正是时候。”

对这类人来说，Canvas outage 不叫事故，叫“天降延期理由”。

很多人第一反应不是数据安全，而是：“所以 DDL 会延吗？”

非常留学生。

天塌下来，第一件事也是问：作业还交吗？

第三类：考试中被踢出来的人。

这类最惨。

别人还能玩梗，他们是真的当场心梗。

Quiz 做到一半，页面崩了。
你甚至不知道该截图、该哭，还是该马上给教授发邮件。

第四类：Canvas 私信焦虑人群。

他们突然开始回忆：

“我是不是在 Canvas 里吐槽过这门课？”
“我是不是给教授发过很卑微的求情信？”
“我是不是和同学讨论过不该写在平台里的内容？”

这才是这次事件最让人后背发凉的地方。

因为官方和多所高校公告都提到，受影响信息可能包括 Canvas messages，也就是用户之间的站内消息。

牛津大学也发布公告称，相关信息可能包括姓名、邮箱和 Canvas 消息，并提醒学生和教职员工警惕钓鱼邮件。

你以为 Canvas 私信只是课程沟通，但它本质上也是一份会被记录、可能被调取、也可能被攻击的数据。

05

学校怎么处理？核心意思：去问你教授

Canvas 出事后，各大学校陆续发公告。

公告风格基本可以总结成三句话：

我们正在关注。

我们正在沟通。

具体 DDL 和考试安排，请等老师通知。

平台的事，学校在处理；
作业的事，问你教授。

这也是留学生最熟悉的流程：

系统崩了。

学校发公告。

学院转发公告。

老师说“我会再通知”。

学生继续刷新邮箱。

所以千万别真的以为：Canvas 被黑 = 不用考试。

更可能的结果是：

Canvas 被黑，

DDL 延期，

提交方式改成邮件，

考试重新安排，

但你该写的作业还是要写。

Final 可能会迟到，但基本不会缺席。

06

真正危险的，是后续精准诈骗

这次事件短期看，是 Canvas 访问异常。
但长期看，更值得警惕的是诈骗。

如果攻击者掌握了学生的姓名、学校邮箱、课程名称、学号、站内消息，就可以制造非常真实的钓鱼邮件。

比如：

“你的 Canvas 账号需要重新验证，请点击链接。”
“你的期末作业提交失败，请重新上传。”
“你的考试安排已变更，请查看附件。”
“你的学生账户存在异常，请支付解锁费用。”

这种诈骗最危险的地方在于，它不是普通垃圾邮件。

它可能写得非常具体：

你的学校，

你的课程，

你的老师，

甚至你的作业名称。

对留学生来说，这类邮件很容易让人放松警惕。

因为大家平时本来就要处理各种学校通知、签证邮件、住宿邮件、银行邮件、学费邮件。

只要对方伪装得足够像，就可能有人点进去。

所以这次事件后，最该小心的不是 Canvas 今天能不能打开，而是未来几周邮箱里那些“看起来很官方”的链接。

07

留学生现在应该怎么做？

别只吃瓜，也别只在群里刷“黑客加油”。

如果你学校使用 Canvas，这几件事建议马上做：

1. 不要点击邮件里的 Canvas 登录链接

要登录 Canvas，尽量从学校官网、学生门户或自己保存的官方入口进入。

凡是让你“重新验证账号”“恢复访问”“重新提交作业”的链接，都要先核实。

2. 立刻备份期末资料

课件、作业说明、考试安排、reading list、评分标准、老师通知，能下载的都下载。

不要等系统再次崩掉，才发现资料全在平台里。

3. 作业提交一定要留证据

如果 Canvas 打不开，先截图。

如果快到 DDL，及时给教授或学院发邮件说明情况，并把作业文件作为附件发送过去。

邮件时间戳很重要，后续如果申请 late penalty waiver 或 special consideration，可能会用得上。

4. 不要在学校平台里发敏感信息

账号密码、银行卡、证件信息、私人隐私，都不要通过 Canvas 私信发送。

以后在学校系统里发任何内容前，都可以先问自己一句：这句话如果有一天被拿出来，我能接受吗？

5. 以学校官方通知为准

群聊负责制造焦虑，官方邮件负责决定 DDL 到底延不延。

不要只看社交平台上的传言，尤其是关于“学校交没交赎金”“数据是不是全泄露”这种消息。