같은 회사를 8개월 새 세 번 뚫었다, Canvas 침해 사건

5월 7일,
미국 전국 학교가 한 번에 멈췄다.
9천여 학교의 학생·교직원
2억 7,500만 명 데이터를 들고 있다는 갱단이,
로그인 페이지에 직접 협박문을 띄웠다.

대상은 캔버스(Canvas)
미국 K12부터 대학까지 표준으로 깔린 학습관리 플랫폼
(LMS / 강의·과제·성적·로그인을 한 곳에 모아 운영하는 시스템)
공격자는 ShinyHunters (유명한 사이버범죄 갱단).
Krebs와 BleepingComputer가 같은 사실을 보도했다.

핵심 사실 두 가지.
1. 5월 7일,
갱단이 캔버스 로그인 포털을 변조해
9천여 교육기관 화면에 협박문을 띄웠다.
2. 같은 갱단이 Instructure(캔버스 운영사)를
8개월 사이 세 번 뚫었다. (2025년 9월 ,5월 1일, 그리고 이번 5월 7일.)

보안 시각으로 본 의미는 명확하다.
같은 공격자가 같은 회사를 세 번 뚫었다는 건,
매번 "봉쇄 완료" 선언 이후에도
침입 경로 정리가 완전하지 않았다는 뜻이다.
패치는 단발성 행위가 아니라
침입 경로 전수 점검이라는 사실을,
가장 잔인한 방식으로 보여주는 사례다.

왜 이게 중요한가.
교육 SaaS는 신원·성적·연락처·생년월일·보호자 등,
개인 정보가 한 데 모이는 도메인이다.
한국에서도 EBS,
학원·대학 LMS,
학사시스템이 비슷한 데이터 집중도를 가진다.
"한 번 패치해서 끝났다"는 보고가 나올 때가 가장 위험한 시점이다.
같은 갱이 같은 회사를 세 번 친 건 우연이 아니다.
ShinyHunters는 2025년 9월 펜실베이니아대 데이터를 Canvas 경로로 빼냈고, 5월 1일 Instructure 본체를 뚫었으며, 5월 2일 CISO의 "봉쇄 완료" 선언 5일 만에 로그인 페이지를 장악했다.
2.75억 명 데이터가 실제로 외부로 유출됐는지는
추가 보도와 포렌식 결과로 확인이 필요하다.