Canvas Məlumat Sızıntısına Görə Şantaj Təhdidi Altındadır
Məşhur təlim idarəetmə sistemi olan Canvas-ın tərtibatçısı Instructure, böyük bir məlumat sızıntısından sonra kiber-cinayətkarlar tərəfindən şantaj təhdidi ilə üzləşib. Təcavüzkarlar, fidyə ödənilməyəcəyi təqdirdə milyonlarla tələbə və müəllimə aid həssas məlumatları yaymaq üçün son tarix təyin ediblər.
Hadisənin Xülasəsi
Dünyada milyonlarla tələbə və müəllimin istifadə etdiyi aparıcı təlim idarəetmə sistemi (LMS) olan Canvas, ciddi bir kiber-təhlükəsizlik hadisəsi ilə gündəmə gəlib. Tərtibatçı şirkət Instructure tərəfindən verilən açıqlamaya görə, şirkət naməlum bir kiber-cinayətkar qrup tərəfindən həyata keçirilən məlumat oğurluğu hücumunun hədəfi olub. Təcavüzkarlar, ələ keçirdiklərini iddia etdikləri böyük həcmdə məlumatı dərc etməmək üçün şirkətdən fidyə tələb edir və bu tələblərinin yerinə yetirilməsi üçün son bir tarix müəyyənləşdiriblər. Bu inkişaf, təhsil texnologiyası sektorunda böyük bir narahatlıq yaradıb və Instructure üzərindəki təzyiqi artırıb.
Hadisə, kiber-cinayətkarların şirkətə bir şantaj məktubu göndərməsi ilə ortaya çıxdı. Bu məktubda, Canvas sistemlərindən oğurlandığı iddia edilən məlumatların bir nümunəsi də yer alırdı. Instructure, hadisəni təsdiqləmək və sistemlərindəki təhlükəsizlik boşluqlarını aşkar etmək üçün dərhal daxili araşdırmaya başladı və aparıcı kiber-təhlükəsizlik şirkətləri ilə əməkdaşlıq etdiyini bildirdi. Şirkət eyni zamanda vəziyyəti müvafiq federal hüquq-mühafizə orqanlarına bildirərək rəsmi istintaq prosesinin başlamasını təmin etdi. Bu cür hadisələr və digər kiber-təhlükəsizlik insidentləri haqqında məlumatlı olmaq üçün Məlumat Sızıntısı Xəbərləri səhifəsini izləyə bilərsiniz.
Sızdırılan Məlumatlar və Miqyası
Təcavüzkarların hansı məlumatlara nə dərəcədə daxil olduğu hələ tam aydınlaşmasa da, ilkin tapıntılar və kiber-cinayətkarların iddiaları sızıntının olduqca geniş miqyaslı ola biləcəyini göstərir. Bir təlim idarəetmə sisteminin təbiətinə görə Canvas, son dərəcə həssas və dəyərli məlumatları saxlayır. Sızdırıldığı iddia edilən məlumatlar arasında bunlar ola bilər:
E-poçtunuz sızdırılıb? Pulsuz yoxlayın — saniyələr içində nəticə.
İndi Yoxla →- Şəxsi Müəyyənləşdirici Məlumatlar (PII): Tələbələrin və müəllimlərin tam adları, e-poçt ünvanları, tələbə nömrələri, doğum tarixləri və əlaqə məlumatları kimi birbaşa şəxsiyyəti müəyyən etmək üçün istifadə edilə bilən məlumatlar.
- Akademik Qeydlər: Qiymətlər, dərslərdə iştirak vəziyyəti, tamamlanmış tapşırıqlar, imtahan nəticələri və akademik irəliləyiş hesabatları. Bu cür məlumatlar akademik şantaj və ya saxtakarlıq üçün istifadə edilə bilər.
- Əlaqə və Mesajlaşma Məlumatları: Platforma üzərindən tələbələr və müəllimlər arasında aparılan xüsusi mesajlaşmalar, forum müzakirələri və elanlar.
- Giriş Məlumatları: İstifadəçi adları və potensial olaraq şifrə heşləri (hashed passwords). Əgər şifrələrin heşlənmə alqoritmi kifayət qədər güclü deyilsə, onların sındırılma riski mövcuddur.
Bu məlumatların pis niyyətli şəxslərin əlinə keçməsi, şəxsiyyət oğurluğu, hədəfli fişinq hücumları, dələduzluq və hətta fiziki təhlükəsizlik riskləri kimi bir çox ciddi nəticələrə səbəb ola bilər.
Hücumun Texniki Tərəfi
Instructure, hücumun necə baş verdiyinə dair texniki detalları hələ paylaşmayıb. Ancaq kiber-təhlükəsizlik mütəxəssisləri, bu cür böyük platformalarda məlumat sızıntılarına səbəb ola biləcək bir neçə ümumi ssenari üzərində dayanırlar. Mümkün hücum vektorları bunlardır:
- Təhlükəsizliyi Pozulmuş bir API: Müasir platformalar, fərqli xidmətlərin bir-biri ilə əlaqə qurmasını təmin edən API-lərdən (Tətbiq Proqramlaşdırma İnterfeysləri) istifadə edir. Əgər bu API-lərdən biri kifayət qədər qorunmursa, təcavüzkarlar bu zəiflikdən istifadə edərək sistemlərə icazəsiz giriş əldə edə bilərlər.
- Səhv Konfiqurasiya Edilmiş Bulud Anbarı: Bir çox texnologiya şirkəti kimi, Instructure da məlumatları Amazon Web Services (AWS) və ya Google Cloud kimi bulud xidmətlərində saxlayır. Bu anbarların giriş icazələri səhv konfiqurasiya edilərsə, həssas məlumatlar təsadüfən ictimaiyyətə açıq ola bilər.
- Fişinq Hücumu: Təcavüzkarlar, geniş səlahiyyətlərə malik bir sistem administratorunu və ya tərtibatçını hədəf alan mürəkkəb bir fişinq hücumu təşkil etmiş ola bilərlər.
- Sıfır Gün Zəifliyi (Zero-Day Exploit): Təcavüzkarların, proqram təminatında əvvəllər heç kim tərəfindən bilinməyən və buna görə də yamağı olmayan bir təhlükəsizlik boşluğunu (sıfır gün zəifliyi) istifadə etməsi ehtimalı da var.
Instructure-ın apardığı araşdırma, bu ehtimallardan hansının baş verdiyini ortaya çıxaracaq.
Təsirə Məruz Qalan İstifadəçilər Kimlərdir
Canvas, K-12 məktəblərindən dünyanın ən nüfuzlu universitetlərinə və böyük korporativ təhsil proqramlarına qədər çox geniş bir istifadəçi bazasına malikdir. Buna görə də, bu məlumat sızıntısı potensial olaraq on milyonlarla insana təsir etmə riski daşıyır. Təsirə məruz qalan qruplara daxildir: tələbələr, müəllimlər, valideynlər və qurum idarəçiləri.
Nə Etməlisiniz
Əgər siz bir Canvas istifadəçisisinizsə, məlumatlarınızın sızdırılma ehtimalına qarşı proaktiv addımlar atmağınız vacibdir. Aşağıdakı tədbirləri görməyiniz tövsiyə olunur:
- Şifrənizi Dərhal Dəyişin: Canvas hesabınızın şifrəsini güclü və unikal bir şifrə ilə dəyişin.
- İki Faktorlu Doğrulamayı (2FA) Aktivləşdirin: Əgər qurumunuz dəstəkləyirsə, hesabınız üçün iki faktorlu doğrulamayı mütləq aktivləşdirin.
- Fişinq Hücumlarına Qarşı Diqqətli Olun: Sızdırılan e-poçt ünvanınızdan istifadə edərək sizə saxta e-poçtlar göndərə bilərlər. Şifrənizi və ya şəxsi məlumatlarınızı tələb edən şübhəli mesajlara qarşı diqqətli olun.
- Rəsmi Açıqlamaları İzləyin: Instructure və təhsil müəssisənizdən gələcək rəsmi elanları izləyin.
Şirkətin Açıqlaması
Instructure, hadisənin ortaya çıxmasından sonra ictimaiyyətə bir açıqlama verdi. Açıqlamada, "Sistemlərimizə icazəsiz girişi ehtiva edən bir kiber-təhlükəsizlik hadisəsindən xəbərdarıq. Dərhal hadisəni nəzarət altına almaq və miqyasını müəyyən etmək üçün addımlar atdıq. Aparıcı kiber-təhlükəsizlik mütəxəssisləri ilə birlikdə hərtərəfli bir araşdırma aparırıq və hüquq-mühafizə orqanları ilə tam əməkdaşlıq edirik" deyilir. Şirkət, şantaj tələbləri barədə şərh verməkdən çəkindi.
Kaynak
https://cyberscoop.com/canvas-instructure-data-theft-extortion-the-com/