《全民新聞台》［港聞］黑客兩度入侵教學平台Canvas 私隱署：四院校逾15萬師生資料外洩 裁定無違反《私隱條例》

私隱署：四院校逾15萬師生資料外洩 裁定無違反《私隱條例》

［2026年8月20日］ 私隱署：四院校逾15萬師生資料外洩 裁定無違反《私隱條例》

個人資料私隱專員公署今日（二十日）公布網上教學管理平台Canvas資料外洩事故的調查結果，確認事件實際影響四間本地教育機構，包括香港城市大學、香港演藝學院、香港建造學院及香港科技大學，合共超過十五萬名師生及員工的個人資料遭外洩，涉及姓名、電郵地址、用戶名稱、學生或登入編號，以及部分課程訊息；科大受影響的資料則主要為用戶在平台發送的訊息，具體情況仍有待營運商進一步核實。 私隱專員鍾麗玲認為，四間機構在使用Canvas過程中已採取所有切實可行的步驟保障個人資料，並無證據顯示違反《個人資料（私隱）條例》。

是次調查源於七間教育機構於今年五月六日至十一日期間向私隱公署通報，指可能受第三方網上教學平台Canvas遭黑客入侵所影響，除上述四間機構外，亦包括香港藝術學院、香港理工大學及香港教育城有限公司。 經調查後，公署確認後三間機構未受是次外洩事件波及，事件實際只影響自二零一四年起陸續採用Canvas的四間院校。 其中城大受影響人數最多，達十四萬六千九百六十九名學生及員工；演藝學院及建造學院則分別有四千五百八十四名及二千三百三十三名師生資料外洩。

Canvas由美國公司Instructure營運，協助教育機構及師生管理網上課程教材。 根據Instructure公布的資料，黑客組織ShinyHunters於今年四月二十九日透過一個「Free-For-Teacher」帳戶在平台進行未經授權活動，利用載有惡意指令碼的支援請求，觸發平台內的跨網站指令碼（XSS）漏洞，取得高權限人員權限，從而竊取用戶資料。 Instructure其後封鎖未經授權存取，並委聘網絡安全公司CrowdStrike展開獨立調查，修補漏洞、加強保安措施，並停用「Free-For-Teacher」服務。 然而黑客於五月七日再利用另一保安漏洞再次入侵，修改多間院校的登入頁面並張貼勒索訊息，其後Instructure於五月九日恢復服務，並於五月十一日表示與黑客達成協議，取回被竊取的個人資料。

私隱公署調查發現，四間受影響院校在採用Canvas前已進行事前評估，審視平台保安措施及國際安全認證，並透過合約規範訂明Instructure須採取適當的機構性及技術性措施，以保障轉移予平台的個人資料，合約條款亦涵蓋事故通報、資料保密及合規責任等要求。 各院校亦建立持續審查機制，包括檢視第三方安全認證報告，以確保平台保安措施符合合約規定及國際標準。 事件發生後，院校持續與Instructure溝通，審視Canvas帳戶的存取權限及活動日誌，為帳戶啟用多重認證功能，並重設所有具管理員權限的帳戶密碼，以加強數據安全。

綜合調查結果，私隱公署指出，是次外洩事件源於第三方平台的漏洞，四間院校的內部系統並未受波及。 鑑於院校在使用Canvas前已進行事前評估、採取合約規範及建立審查機制，以確保被轉移的個人資料受保障，鍾麗玲認為並無證據顯示四間機構在使用Canvas過程中沒有採取所有切實可行的步驟保障所持有的個人資料，因而不涉及違反《私隱條例》的情況。 儘管如此，公署已建議涉事院校重新審視資料外洩風險，加強監管第三方平台所採取的保安措施，審視並盡量減少平台上儲存的個人資料，啟用帳戶的多重認證功能，以及訂定清晰的存取權限和資料保留時限，以進一步確保資料安全。

🔽全面覆蓋最新港聞🔽

知多些，睇晒全文➡官方網頁: https://www.cvrhk.com

支持全民小店《維瓦》:https://volvahk2021.wixsite.com/volvahk

店舖地址：旺角西洋菜南街銀城廣場地庫B31號舖

有動感有聲音➡YOUTUBE頻道: https://www.youtube.com/@CVRHK

追蹤每日動態➡Facebook專頁: https://www.facebook.com/cvrhk

Whatsapp頻道➡全民新聞 CVRHK

簡單睇➡全民新聞 (@cvrhk_news) on Threads & IG