Canvasのデータ漏えいを知り、メールまで乗っ取られたのではと心配になっている方へ。
最初に確認すべきなのは、学校や機関の正式な通知です。メールアドレスが事件データに含まれたことと、メールアカウントが乗っ取られたことは別の状態です。
Canvasを使う学生で、学校のサービスやメールへの影響が気になる方。
授業情報、連絡先、ログイン情報のどれが関係するのか確かめたい教職員や保護者。
個別通知をまだ受け取っておらず、自分の状況を判断する材料を探している学校・機関の利用者に向けて説明します。
最終更新：2026年10月23日。Instructureの公式事件更新と、米教育省の案内を確認しています。Instructureの公式更新では公開情報と機関ごとの確認が区別されています。学校や機関から届く正式な通知が、個人への影響を確認するうえで重要です。
まず、漏れたデータとアカウントの状態を分けます
Canvasのデータ漏えいを判断する際は、メールアドレス、ログイン認証情報、メールサービス自体への不正ログインを混同しないことが重要です。住所録に相当する情報が露出しても、それだけでメールボックスを開けるパスワードが知られたとはいえません。
| 確認する状態 | 何が分かった状態か | 優先する対応 |
|---|---|---|
| メールアドレスの露出 | 連絡先情報が事件に関係するデータに含まれた可能性があります | 学校からの個別通知を確認し、名指しの連絡や不審なメールに注意します |
| ログイン認証情報への影響 | 学校の案内に、パスワードなどの認証情報が対象と記載されています | 通知が示す対象サービスのパスワードを変更し、使い回しも確認します |
| メールアカウントへの不正ログイン | メールサービス側で身に覚えのないアクセスや設定変更が見つかります | メールサービスの安全確認手順を使い、セッションや転送設定も点検します |
これは確認のための切り分けであり、公開情報だけから個人のアカウント状態を判定する表ではありません。学校のアカウントと、そこから連絡先として登録していたメールサービスのアカウントは、別々に確認してください。
公式発表のデータ項目を、自分の通知と照合します
Instructureの公式説明では、事件に関連する情報の種類として、ユーザー名、メールアドレス、コース名、履修情報、メッセージが挙げられています。公式事件ページは、影響を受けた機関に対して、機関ごとのデータ確認結果を後続で提供することも説明しています。これらは公開情報に示されたデータ項目であり、すべてのCanvas利用者に同じ情報が影響したという意味ではありません。
| 公開情報に記載された項目 | あり得る懸念 | 個人が確認するもの |
|---|---|---|
| ユーザー名、メールアドレス | 学校や授業を装った連絡が届く可能性があります | 学校からの対象者向け通知と、届いたメールの内容 |
| コース名、履修情報 | 実際の授業名を使った、もっともらしい連絡が作られるおそれがあります | その案内が学校の正式なポータルにも掲載されているか |
| メッセージ | 授業や連絡内容が関係する可能性があります | 学校が個別に示した対象データと対応方法 |
米教育省の案内は、2026年5月12日付で掲載され、同年5月29日付の更新が記されています。これは事件に関する公的な案内の日付であり、個々の学校や利用者が影響を受けたかを示す日付ではありません。学校ごとの確認結果は、機関からの正式な通知で照合してください。
たとえば、学生の保護者に「授業の資料を再確認してください」という連絡が届いても、授業名が正しいだけでは本物と判断できません。メール内のリンクからログインせず、普段使っている学校ポータルを直接開いて、同じ案内が掲載されているか確認します。必要なら、ポータルに記載された連絡先へ問い合わせてください。
学校からの通知が見つからない場合は、別の学校の案内や報道を自分の状況に当てはめず、所属機関の公式窓口に確認します。UCLAのセキュリティ案内も、機関が利用者へ案内する情報の例として参照できますが、個別の影響判断は所属先の通知を優先してください。
不審な連絡は、既知の経路から確かめます
メールアドレスが露出すると、学校や授業に関係するように見せた連絡が届く可能性があります。ただし、それはメールアドレスが公開販売された証拠でも、メールアカウントが操作されている証拠でもありません。件名、表示名、署名だけで本物と判断しないでください。
| 確認する連絡方法 | 利点 | 注意点 |
|---|---|---|
| メール本文のリンクから開く | 手間が少なく見えます | 偽のログイン画面へ誘導される可能性があるため、認証情報を入力しないでください |
| 既知の学校ポータルを自分で開く | メールとは別の経路で同じ案内を照合できます | 送信メールに記載されたリンクではなく、保存済みの正規の入口を使います |
| 学校の公式窓口へ連絡する | 自分の所属先に関する確認ができます | メールに返信せず、ポータルや過去に確認済みの連絡先から問い合わせます |
実際の対処は、次の順に進めると混同を避けられます。
- メールのリンクや添付ファイルを開かず、送信者名だけで判断しないようにします。
- 学校のポータルをブックマークや既知の入口から開き、事件についての正式な案内を探します。
- 通知に記された対象データと、自分の所属・利用状況を照らし合わせます。不明な点は学校の担当窓口に尋ねます。
- 認証情報が対象と明記された場合は、通知が指定するアカウントを対象に対応します。パスワードを他のサービスでも使っていた場合は、そのサービス側の認証情報も個別に変更します。
- メールサービスのログイン履歴や転送設定に見覚えのない変更がないか確認します。異常があれば、そのメールサービスの正式な安全確認手順に従います。
米連邦取引委員会のフィッシング対策案内も、不審な連絡のリンクを使わず、独立した経路で確かめる方法を説明しています。確認コードやパスワードをメールで求められた場合も、返信や入力を避けて公式窓口へ確認してください。
関連する連絡の真偽を判断するときは、学校を装うメールの確認ポイントも参考になります。今後の登録先ごとにメールアドレスの使い分けを考える場合は、用途別の受信箱の選び方で、長期利用が必要なアカウントとの違いを確認できます。
よくある疑問
メールアドレスが公開情報に含まれたら、変更が必要ですか？
アドレスが露出しただけで、長期利用しているメールアドレスをすぐ変更する必要があるとは限りません。変更すると、学校や重要なサービスの連絡先更新や、アカウント回復先の見直しが必要になります。まず通知の対象範囲を確認し、迷惑メールや不審な連絡の増加には慎重に対処してください。
学校の通知を受け取っていなければ、影響なしと判断できますか？
通知が届いていないことだけでは、影響の有無を確定できません。迷惑メールフォルダーや学校ポータルも確認し、判断できない場合は既知の窓口へ問い合わせます。公開されたデータ項目は事件全体の説明であり、個人に関する調査結果とは区別して読む必要があります。
Canvasのパスワードを変えれば、メールも安全になりますか？
Canvasのパスワードを変更しても、メールサービスのパスワードやログイン状態が自動で保護されるわけではありません。学校から認証情報への影響を知らされた場合は、その通知に沿って対象アカウントに対応します。メール側に不審なログインがある場合は、メールサービスの安全対策を別に進めてください。
メールを別の受信箱に転送すれば、今回の漏えいを防げますか？
転送先を変更しても、すでに事件に含まれたデータを回収したり、以前に登録したアドレスの露出を取り消したりはできません。転送や別アドレスの使い分けは、今後の登録先で主アドレスを知らせる範囲を抑えるための方法です。学校や重要なアカウントの連絡先には、継続して管理できるメールアドレスを使ってください。
今後の登録先で主アドレスを分ける場合
Canvasの件を確認した後、信頼性がまだ分からないサイトへの登録では、主アドレスとは別の受信先を使う方法があります。これは今後の登録先から主アドレスを分けるための選択肢であり、既存の漏えいを取り消す手段でも、メールアカウントの乗っ取りを防ぐ対策でもありません。
一時メールと予備メールの違いを確認したうえで、短期間の登録や一度限りの確認にCloneInboxを利用する方法も検討できます。学校、銀行、行政、決済、アカウント回復の連絡先には、長期にわたり本人が管理できるメールアドレスを残してください。
よくある質問
Canvasの情報流出で、普段使っているメールアカウントにもログインされますか？
メールアドレスが漏れた場合、すぐに別のアドレスへ変更すべきですか？
自分の学校やCanvasアカウントが対象か、どこで確認できますか？
事件に便乗した学校からのメールが本物か、どう見分ければよいですか？
ショッピング通知専用の受け取り先を作る
CloneInboxの転送エイリアスで一般的な通知を継続して受信できます。短期間の認証に一度だけ使うなら、一時メールを選びましょう。