Canvas Məlumat Sızması Hakerlərlə Razılıq Əldə Edildi

Hadisənin Xülasəsi

Dünya miqyasında milyonlarla tələbə və müəllim tərəfindən istifadə edilən aparıcı təlim idarəetmə sistemi (LMS) olan Canvas, böyük bir kiber təhlükəsizlik hadisəsi ilə gündəmə gəlib. Şirkətin ana şirkəti Instructure tərəfindən verilən açıqlamaya görə, şəxsiyyəti məlum olmayan hakerlər platformanın sistemlərinə sızaraq əhəmiyyətli miqdarda istifadəçi məlumatını oğurlayıblar. Hadisəni daha da mürəkkəbləşdirən isə, Instructure-un oğurlanmış bu məlumatların internetdə yayımlanmasının və ya satılmasının qarşısını almaq məqsədilə təcavüzkarlarla razılığa gəldiyini elan etməsidir. Şirkət, bu razılaşma müqabilində hakerlərin məlumatları qalıcı olaraq sildiyinə dair zəmanət aldığını bildirib. Bu qərar, kiber təhlükəsizlik cəmiyyətində və istifadəçilər arasında etik və praktiki baxımdan gərgin bir müzakirəyə səbəb olub.

Sızdırılan Məlumatlar və Miqyası

Instructure, sızmanın dəqiq miqyası və təsirlənən istifadəçi sayı haqqında dəqiq rəqəmlər verməkdən çəkinsə də, sızdırılan məlumatların mahiyyəti narahatlıq doğurur. Bir təhsil platforması olaraq Canvas, istifadəçiləri haqqında olduqca həssas məlumatlar saxlayır. Potensial olaraq sızdırılan məlumat növlərinə aşağıdakılar daxil ola bilər:

• Şəxsi İdentifikasiya Məlumatları (PII): Tələbə və müəllimlərin adları, soyadları, e-poçt ünvanları, tələbə nömrələri və doğum tarixləri kimi əsas şəxsiyyət məlumatları.
• Akademik Qeydlər: Qiymətlər, dərslərə qeydiyyat məlumatları, tapşırıq təhvili, imtahan nəticələri və dərs içi müzakirə forumlarındakı yazışmalar.
• Əlaqə Məlumatları: Məktəb tərəfindən sistemə əlavə edilmiş ola biləcək telefon nömrələri və ünvanlar.
• Giriş Məlumatları: İstifadəçi adları və çox güman ki, şifrələnmiş (hashed) formada parollar. Parolların şifrələnməsi bir təhlükəsizlik qatı təmin etsə də, zəif parollar kobud güc hücumları (brute-force) ilə qırıla bilər.

Bu cür məlumatların bir araya gəlməsi, şəxsiyyət oğurluğu, hədəfli fişinq (spear phishing) hücumları və digər fırıldaqçılıq növləri üçün son dərəcə dəyərli bir mənbə təşkil edir. Xüsusilə akademik qeydlərin sızdırılması, tələbələrin məxfiliyi üçün ciddi bir təhdiddir.

Hücumun Texniki Tərəfi

Şirkət, təcavüzkarların sistemlərə necə sızdığına dair texniki detalları hələ paylaşmayıb. Bu cür məlumatlar adətən davam edən məhkəmə-tibbi araşdırmalar səbəbindən gizli saxlanılır. Ancaq bənzər böyüklükdəki platformalarda müşahidə edilən yaygın hücum vektorları (hücum üsulları) bunlardır:

• Təhlükəsizlik Boşluğunun İstismarı: Platformanın istifadə etdiyi proqram təminatında və ya server infrastrukturunda mövcud olan, əvvəllər bilinməyən (sıfır gün boşluğu) və ya bilinən, lakin yamanmamış bir təhlükəsizlik boşluğunun istifadə edilməsi.
• Fişinq (Phishing): İmtiyazlı səlahiyyətlərə malik bir şirkət işçisini hədəf alan inkişaf etmiş bir fişinq hücumu. Bu hücum nəticəsində işçinin giriş məlumatlarının oğurlanması, təcavüzkarlara şəbəkəyə ilk giriş nöqtəsini təmin etmiş ola bilər.
• Yanlış Konfiqurasiya Edilmiş Bulud Anbarı: Müştəri məlumatlarını saxlayan Amazon S3 və ya bənzər bulud anbarı xidmətlərinin giriş icazələrinin yanlış konfiqurasiya edilməsi, məlumatların ictimaiyyətə açıq olmasına və ya təcavüzkarlar tərəfindən asanlıqla əldə edilməsinə səbəb ola bilər.
• Üçüncü Tərəf İnteqrasiya Riski: Canvas-ın inteqrasiya olunmuş şəkildə işlədiyi bir üçüncü tərəf xidmət təminatçısının sistemlərindəki bir zəiflik vasitəsilə təcavüzkarların Canvas şəbəkəsinə sızmış olma ehtimalı da mövcuddur.

Hücumdan sonra Instructure-un kiber təhlükəsizlik şirkətləri və hüquq-mühafizə orqanları ilə işlədiyi bildirilsə də, hakerlərlə razılaşma yoluna getməsi, vəziyyəti nəzarət altına almaqda çətinlik çəkdikləri şəklində yozula bilər.

Kimlər Təsirlənib

Canvas, qlobal miqyasda K-12 (uşaq bağçasından liseyə qədər) məktəblərindən dünyanın ən prestijli universitetlərinə qədər geniş bir yelpazədə təhsil müəssisələrinə xidmət göstərir. Buna görə də, bu sızmadan təsirlənən potensial kütlə olduqca genişdir:

• Tələbələr: Hər yaşdan milyonlarla tələbənin şəxsi və akademik məlumatları risk altındadır.
• Müəllimlər: Müəllimlərin, professorların və təlimatçıların əlaqə məlumatları və sistemə yüklədikləri dərs materialları sızdırılmış ola bilər.
• Məktəb İdarəçiləri: Sistemə idarəçi girişi olan personalın məlumatları və qurumla bağlı məlumatlar təhlükəyə girmiş ola bilər.

Sızma, yalnız fərdi istifadəçilərə deyil, eyni zamanda bu platformadan istifadə edən təhsil müəssisələrinin nüfuzuna və təhlükəsizliyinə də birbaşa təsir göstərir.

Nə Etməlisiniz

Əgər bir Canvas istifadəçisisinizsə, məlumatlarınızın silindiyi barədəki açıqlamaya baxmayaraq, proaktiv olaraq bəzi tədbirlər görməyiniz şiddətlə tövsiyə olunur:

1. Parolunuzu Dərhal Dəyişin: Canvas hesabınızın parolunu dərhal güclü və unikal bir parolla dəyişdirin. Əgər bu parolu başqa platformalarda da istifadə edirsinizsə, o hesabların parollarını da mütləq dəyişdirin.
2. İki Faktorlu Kimlik Doğrulaması (2FA) Aktivləşdirin: Əgər Canvas hesabınızda və ya bağlı olduğu məktəb sistemində 2FA seçimi mövcuddursa, bunu dərhal aktivləşdirin. Bu, parolunuz oğurlansa belə, hesabınıza icazəsiz girişi böyük ölçüdə əngəlləyir.
3. Fişinq Hücumlarına Qarşı Diqqətli Olun: Təcavüzkarlar, ələ keçirdikləri e-poçt ünvanlarını və şəxsi məlumatları istifadə edərək sizə xüsusi və inandırıcı fişinq e-poçtları göndərə bilərlər. Canvas və ya məktəbinizdən gəlirmiş kimi görünən şübhəli e-poçtlardakı linklərə klikləməkdən və əlavələri yükləməkdən çəkinin.
4. Hesab Hərəkətlərinizi İzləyin: Xüsusilə maliyyə məlumatlarınızla əlaqəli olmasa da, digər onlayn hesablarınızdakı şübhəli fəaliyyətləri müşahidə edin.

Şirkətin Açıqlaması

Instructure tərəfindən verilən rəsmi açıqlamada, hadisənin aşkar edilməsindən dərhal sonra kiber təhlükəsizlik mütəxəssislərindən ibarət bir komanda ilə işə başlandığı və sistemlərdəki təhlükəsizlik zəifliklərinin aradan qaldırıldığı vurğulanıb. Şirkət, "prioritetimiz istifadəçilərimizin məlumatlarını qorumaqdır" deyərək, hakerlərlə edilən razılaşmanın məlumatların daha geniş kütlələrə yayılmasının qarşısını almaq üçün atılmış zəruri bir addım olduğunu müdafiə edib. Ancaq bu yanaşma, kiber cinayətləri maliyyələşdirdiyi və gələcək hücumları təşviq etdiyi üçün təhlükəsizlik mütəxəssisləri tərəfindən sərt şəkildə tənqid edilir. Hakerlərin məlumatları həqiqətən silib-silmədiyini yoxlamağın demək olar ki, qeyri-mümkün olması, bu razılaşmanın effektivliyi barədə ciddi şübhələr yaradır.

Kaynak

https://www.securityweek.com/deal-reached-with-hackers-to-delete-data-stolen-from-the-canvas-educational-platform/