Säkerhetsincident gällande Canvas
En säkerhetsincident har upptäckts hos leverantören av lärplattformen Canvas. På den här sidan hittar du information kopplad till incidenten.
Canvas åter i drift
Canvas‑leverantören Instructure har fattat beslut om en överenskommelse med den hotaktör som stört driften av Canvas. Detta är ett beslut som Instructure själv har fattat utifrån egna bedömningar.
Mälardalens universitet har inte haft någon kontakt med hotaktören, har inte deltagit i sådant beslutsfattande och har ingen insyn i eventuella överenskommelser. Universitetets hållning är att aldrig gå hotaktörer till mötes.
MDU följer utvecklingen noggrant och bevakar fortlöpande eventuella nya uppgifter eller förändringar kopplade till incidenten.
Det är också fortsatt viktigt att alla lärare och studenter är uppmärksamma på misstänkta e-postmeddelanden och andra former av phishingförsök. Var särskilt vaksam på oväntade uppmaningar att lämna ut inloggningsuppgifter eller klicka på länkar. Vid minsta tveksamhet – avstå och rapportera till abuse@mdu.se. Har du frågor om hur MDU behandlar dina personuppgifter, vänligen vänd dig till dso@mdu.se.
Updaterad information måndag 11 maj
Enligt information från Instructure har omfattande tekniska och organisatoriska säkerhetsåtgärder vidtagits, och Canvas bedöms i nuläget vara säkert att använda. Plattformen är därför fortsatt tillgänglig, även om vissa begränsningar kan förekomma.
Universitetet följer utvecklingen nära i dialog med Instructure och Sunet. Som en del av incidenthanteringen har Sunet upprättat en polisanmälan.
Informationen på denna sida uppdateras löpande när det finns ny, verifierad information eller om Mälardalens universitets bedömning förändras.
Om du som användare märker något avvikande i Canvas eller i anslutande funktioner och integrationer, vänligen kontakta universitetets helpdesk.
Canvas och Ladok
- Integrationen mellan Canvas och Ladok kommer att vara fortsatt avstängd till och med 18 maj. Därefter kommer Ladok att göra en ny bedömning.
Så påverkas vi som lärosäte av detta:
- Resultatrapporteringen är tillfälligt avstängd i Canvas, om du vill rapportera in resultat under denna period går det bra att göra det direkt i Ladok. Vid frågor om resultatrapportering i Ladok, kontakta din institutionsadministration.
- Nya och förändrade kurser i Ladok skapas eller uppdateras inte i Canvas under denna period.
- Studentregistreringar i Ladok synkroniseras under denna period inte automatiskt till Canvas, utan hanteras manuellt av IT
Uppdaterad information angående pågående säkerhetsincident i Canvas
Instructure, leverantör av lärplattformen Canvas, har den 8 maj 2026 lämnat ny information och bekräftat att den pågående säkerhetsincidenten (dataintrång) inte är avslutad, då nya angrepp har identifierats som påverkar deras system. Incidenten berör flera svenska lärosäten, inklusive Mälardalens universitet (MDU).
Utredningen visar att en extern obehörig aktör sannolikt har haft åtkomst till data kopplad till MDU:s Canvas‑miljö. Detta innebär att en personuppgiftsincident enligt dataskyddsförordningen har inträffat, och universitetet har tidigare i veckan anmält incidenten till Integritetsskyddsmyndigheten. Händelsen är fortsatt under utredning och det går i nuläget inte att med säkerhet fastställa exakt vilka personuppgifter eller vilka individer som har berörts.
Enligt den senaste informationen som lämnats av leverantören kan den obehöriga åtkomsten ha omfattat vissa identifierande personuppgifter, till exempel namn, e‑postadress och användar‑ eller student‑ID. I dagsläget finns det inte några uppgifter som tyder på att lösenord, personnummer, födelsedatum eller finansiell information har exponerats. Det är dock också möjligt att innehåll i Canvas meddelandefunktion har varit åtkomligt för obehöriga. Meddelandefunktionen innehåller fritext vilket innebär att innehållet kan variera beroende på hur du som användare har använt plattformen. Det kan därför i nuläget inte uteslutas att även uppgifter av mer känslig karaktär kan ha funnits i meddelandena. Detta innebär en risk för att personuppgifter som behandlas i Canvas – både identifierande uppgifter och eventuellt kommunikationsinnehåll i meddelandefunktionen – kan ha varit åtkomliga för obehöriga. Detta kan i sin tur leda till integritetsrelaterade konsekvenser. MDU följer utvecklingen noggrant och uppdaterar bedömningen i takt med att universitetet får information från leverantören. Om du har frågor som rör dina personuppgifter, vänligen kontakta universitetets dataskyddsombud via dso@mdu.se.
Driftstörningar för Canvas den 8 maj
Mot bakgrund av incidenten och som en säkerhetsåtgärd har Canvas varit tillfälligt nedstängt fredag den 8 maj 2026 och det pågår fortfarande större driftstörningar. Säkerhetsåtgärder bedöms och hanteras löpande för att begränsa risken för ytterligare obehörig åtkomst.
Vad gör MDU?
MDU hanterar händelsen i enlighet med dataskyddsförordningen och universitetets interna rutiner för personuppgiftsincidenter. Riskbedömningar genomförs och omprövas löpande i nära dialog med leverantören samt genom nationell samordning via Sunet.
Vad bör du som användare göra?
I nuläget krävs inga särskilda åtgärder från dig. Som en försiktighetsåtgärd rekommenderar MDU att du är uppmärksam på misstänkta e‑postmeddelanden eller andra kontaktförsök, inte delar dina inloggningsuppgifter och använder starka samt unika lösenord även i andra tjänster.
Fortsatt information
Vi kommer att fortsätta uppdatera på den här sidan när det finns ny, verifierad information eller om universitetets bedömning förändras. Var aktsam på att det florerar mycket obekräftade uppgifter kring denna incident.
Ingen ny information sedan gårdagen.
Säkerhetsincident i Canvas
Instructure som är leverantör av lärplattformen Canvas som används vid Mälardalens universitet (MDU) har informerat om en pågående säkerhetsincident som rör deras miljö. Utredningen pågår fortsatt med stöd av externa cybersäkerhetsexperter. Instructure har nu bekräftat att MDU är en av de organisationer vars konto har berörts av incidenten.
Utifrån den information som Instructure hittills har delat framgår att en extern, kriminell aktör har haft obehörig åtkomst till data kopplad till MDU:s konto i Canvas. De uppgifter som kan ha varit tillgängliga uppges omfatta personuppgifter. Enligt Instructure finns det i nuläget inga indikationer på att lösenord, födelsedatum, statliga identifierare eller finansiell information har omfattats.
I Sverige är det Sunet (Swedish University Computer Network) som levererar Canvas till lärosäten. Sunet är en del av Vetenskapsrådet och driver Sveriges universitetsdatanät och erbjuder digitala tjänster för lärosäten.
Vad har hänt?
Den 25 april 2026 utsattes Instructure för ett cyberangrepp där en extern aktör utnyttjade en sårbarhet i ett system som leverantören tillhandahåller. Angreppet upptäcktes den 29 april, varvid den identifierade åtkomsten omedelbart återkallades. När utredningen därefter utvidgades återkallades ytterligare misstänkta åtkomster och den bakomliggande sårbarheten åtgärdades den 30 april. Instructure har uppgett att det i dagsläget inte finns några tecken på en pågående hotbild. Instructure offentliggjorde upptäckten den 2 maj.
Som en del av incidenthanteringen har Instructure bland annat anlitat en extern forensisk aktör, underrättat brottsbekämpande myndigheter och vidtagit omfattande tekniska säkerhetsåtgärder, inklusive spärr av komprometterade konton, återkallande av åtkomstnycklar och införande av förstärkta skyddsåtgärder i hela plattformen.
Påverkan på MDU
Instructure har bekräftat att data kopplad till MDU:s konto har varit föremål för obehörig åtkomst. I nuläget pågår arbetet med att klarlägga vilka specifika uppgifter och vilka kategorier av registrerade som kan ha berörts. Det finns för närvarande ingen verifierad information som visar att uppgifter har offentliggjorts eller spridits vidare, men händelsen bedöms kunna omfatta personuppgifter.
De säkerhetsåtgärder som leverantören har vidtagit, såsom begränsningar i åtkomster, återkallande av nycklar och förändringar i hur tokens kan skapas, kan i vissa fall ha lett till tillfälliga störningar eller begränsad funktionalitet för externa integrationer eller tjänster som är kopplade till Canvas. Canvas i produktionsmiljö är i dagsläget i drift. Vissa testmiljöer återställs successivt.
Vad gör MDU?
Universitetet genomför löpande och strukturerade riskbedömningar för att bedöma om och i vilken utsträckning händelsen kan innebära en risk för registrerades rättigheter och friheter, i enlighet med dataskyddsförordningen (GDPR). Bedömningarna uppdateras fortlöpande i takt med att ny, verifierad information tillkommer från Instructure och andra relevanta aktörer.
Parallellt har MDU etablerat dialog med leverantören och analyserar händelsen ur ett juridiskt, tekniskt och organisatoriskt perspektiv, inklusive eventuell informationsskyldighet gentemot berörda registrerade och tillsynsmyndighet. Universitetet strävar efter att kommunicera korrekt, saklig och bekräftad information för att upprätthålla transparens och minska risken för spekulation och onödig oro under den pågående utredningen.
Rekommendation till användare
Som en generell försiktighetsåtgärd rekommenderas användare att vara uppmärksamma på misstänkta e‑postmeddelanden eller andra kontaktförsök, att inte dela sina inloggningsuppgifter samt att använda starka och unika lösenord.
Fortsatt information
Vi delar fortlöpande information på den här sidan när det finns uppdaterad och bekräftad information tillgänglig från Instructure, Sunet eller när universitetets egen bedömning av händelsen förändras.
Om du som är drabbad har frågor kring dina personuppgifter går det bra att kontakta dataskyddsombudet via dso@mdu.se.