Canvas-lek bij Instructure: 44 Nederlandse onderwijsinstellingen geraakt, en wat het MKB ervan kan leren

Op 30 april 2026 verkreeg de cybercriminele groep ShinyHunters toegang tot de systemen van Instructure, het bedrijf achter het wereldwijd gebruikte leerplatform Canvas. De groep claimt 3,65 terabyte aan data te hebben buitgemaakt, mogelijk geraakt: 275 miljoen gebruikers verspreid over bijna 9.000 onderwijsinstellingen. Op de slachtofferlijst staan 44 Nederlandse organisaties, van de Universiteit van Amsterdam tot de Vrije Universiteit en de Haagse Hogeschool. De buit zou bestaan uit namen, e-mailadressen, studentnummers en privégesprekken via Canvas Inbox. Instructure bevestigde het incident op 1 mei.

Drie weken eerder schreef ik over de ChipSoft-aanval, met de stelling dat vendor-risico het grootste onbekende aanvalsoppervlak van de meeste MKB-bedrijven is. Deze Canvas-zaak is exact hetzelfde patroon, alleen op andere schaal. Eén leverancier, één toegangspunt, honderden organisaties tegelijk geraakt. Voor het MKB dat geen Canvas gebruikt, gaat het niet om wie er nu in het nieuws staat. Het gaat erom dat de structurele zwakte op elke schaal werkt.

Hoe deze aanval anders is dan ChipSoft

De ChipSoft-aanval volgde een klassiek ransomware-patroon: data exfiltratie, versleuteling, afpersing. ShinyHunters opereert anders. Geen versleuteling, geen losgeldonderhandeling. Hun verdienmodel is rechtstreekse data-monetisatie via marktplaatsen op het dark web. Studentdata, met namen en mailadressen gekoppeld aan instellingen, is brandstof voor gerichte phishing, identiteitsfraude en social engineering tegen specifieke doelwitten.

Dat verandert de risicoanalyse. Een ransomware-incident is zichtbaar en eindig. Een ShinyHunters-incident is onzichtbaar en heeft een lange staart. Studenten en medewerkers van de 44 geraakte Nederlandse instellingen gaan de komende maanden phishing-mails ontvangen die exact weten welke opleiding ze volgen en wie hun studieadviseur is. Dat soort gepersonaliseerde aanvallen is een veelvoud effectiever dan generieke spamcampagnes.

Wat dit zegt over de SaaS-keten

Het meest verontrustende detail in deze zaak: Instructure is geen klein bedrijf. Het is een Amerikaanse beursgenoteerde organisatie met een volwassen security-team en een SOC 2-certificering. Toch werd er 3,65 TB aan data ongezien afgevoerd. Als een dergelijke leverancier kwetsbaar is, is geen enkele leverancier veilig. Dat is geen reden voor paniek, dat is een reden voor realistische verdediging.

Voor het MKB betekent dit dat je je beveiligingsmodel moet bijstellen. Niet "kies een veilige leverancier" maar "ga ervan uit dat elke leverancier ooit gecompromitteerd raakt en richt je organisatie daarop in." Dat klinkt cynisch, maar het is gewoon planning.

Vijf lessen voor elk MKB met SaaS-leveranciers

Dit zijn de maatregelen waar ik elke MKB-organisatie deze week mee zou beginnen, ongeacht of je Canvas gebruikt.

1. Beperk wat je per SaaS-tool deelt. Veel organisaties laden bij implementatie alle beschikbare data naar de nieuwe tool. Vraag bij elke koppeling: heeft deze leverancier dit echt nodig? Een marketing-tool hoeft geen toegang tot je volledige klantgeschiedenis. Een ATS-systeem hoeft geen burgerservicenummers op te slaan. Minimaliseer data-overdracht aan de bron.

2. Gebruik unieke wachtwoorden per SaaS-platform. Als de inloggegevens van een gebruiker bij Canvas lekken en die persoon hetzelfde wachtwoord gebruikt bij je boekhoudsysteem, heb je een tweede lek zonder dat er iemand bij jou inbrak. Een wachtwoordmanager als Bitwarden of 1Password kost minder dan een lunch per maand per gebruiker en lost dit volledig op.

3. Activeer MFA per SaaS-account, niet alleen op je hoofd-mail. Veel organisaties hebben MFA aan op Microsoft 365, maar laten andere SaaS-tools open. Elk account dat alleen met een wachtwoord beveiligd is, is een onnodig risico. Loop je hele tool-stack af en zet MFA aan waar het kan.

4. Maak een incident-protocol voor "onze vendor is gelekt." Wat doe je als morgen je salaris-leverancier in het nieuws komt? Welke wachtwoorden reset je? Wie informeer je? Schrijf het op één A4 en hang het op. Tijdens een crisis improviseren is hoe organisaties grotere fouten maken dan de oorspronkelijke aanval.

5. Train je team op leverancier-impersonatie. Na een groot lek komen de phishingmails. "Beste gebruiker, wij hebben uw Canvas-account gereset, klik hier om opnieuw in te loggen." Die mails zijn overtuigender dan ooit omdat de aanvaller weet dat je daar daadwerkelijk klant was. Communiceer dit patroon proactief aan je team.

   
   

De rode draad

ShinyHunters en Embargo werken op verschillende verdienmodellen, maar ze vissen in dezelfde vijver: het vertrouwen dat organisaties geven aan hun leveranciers. Dat vertrouwen is meestal gerechtvaardigd, totdat het dat niet is. De realistische houding zit ergens tussen blind vertrouwen en paranoia: verifieer wat verifieerbaar is, beperk wat je deelt, en zorg dat een lek bij een leverancier niet automatisch een lek bij jou betekent.

De 44 geraakte Nederlandse onderwijsinstellingen zijn waarschijnlijk niet de laatste. Deze zomer komt er weer een grote naam in het nieuws. De vraag is alleen: ben jij dan voorbereid of word je verrast.

Klarifai helpt MKB-organisaties bij het in kaart brengen van vendor-risico en het opzetten van praktische incident-protocollen.

Bronnen: The Next Web: Instructure Canvas-lek (mei 2026), Cybernews: ShinyHunters claimt 3,65 TB