Canvas-Eigentümer Instructure einigt sich nach Ransomware-Angriff

Zusammenfassung des Vorfalls

Am 14. Mai 2026 wurde die Welt der Bildungstechnologie durch eine alarmierende Ankündigung von Instructure erschüttert. Das Unternehmen, Eigentümer des beliebten Lernmanagementsystems (LMS) Canvas, das von Millionen von Studierenden, Lehrenden und Bildungseinrichtungen genutzt wird, gab offiziell bekannt, Opfer eines Ransomware-Angriffs geworden zu sein und anschließend eine Vereinbarung mit den Cyberkriminellen getroffen zu haben. Als Drahtzieher des Angriffs wurde die Gruppe ShinyHunters identifiziert, eine berüchtigte Organisation, die für ihre Angriffe auf zahlreiche große Unternehmen bekannt ist. In der Erklärung wurde betont, dass der Zweck dieser Vereinbarung darin bestehe, die Veröffentlichung oder den Verkauf der entwendeten sensiblen Daten durch die Angreifer zu verhindern.

Dieser Vorfall unterstreicht erneut die ernste Gefahr einer Taktik, die in der Cybersicherheitswelt als "doppelte Erpressung" (Double Extortion) bekannt ist. Angreifer verschlüsseln nicht mehr nur Systeme und fordern Lösegeld, sondern stehlen auch Daten und nutzen die Drohung ihrer Veröffentlichung, um den Druck auf die betroffenen Unternehmen zu erhöhen. Die Entscheidung von Instructure, eine Vereinbarung auszuhandeln, hat Bedenken hinsichtlich des enormen Umfangs und der Sensibilität der gestohlenen Daten geweckt.

Gestohlene Daten und Umfang

Obwohl Instructure unter Berufung auf die Bedingungen der Vereinbarung keine vollständigen Einzelheiten zu den kompromittierten Daten offengelegt hat, deutet die Natur einer umfassenden Plattform wie Canvas darauf hin, dass eine breite Palette von Datentypen gefährdet war. Zu den potenziell entwendeten Daten gehören:

• Persönlich identifizierbare Informationen (PII): Vollständige Namen, E-Mail-Adressen, Matrikelnummern, Geburtsdaten und in einigen Fällen sogar physische Adressen und Telefonnummern von Studierenden und Lehrenden.
• Akademische Unterlagen: Hochsensible Informationen wie Noten, Kursmaterialien, eingereichte Aufgaben, Prüfungsergebnisse und Leistungsnachweise.
• Benutzeranmeldeinformationen: Benutzernamen und potenziell gehashte Passwörter. Auch wenn Passwörter nicht im Klartext gespeichert werden, können schwache Passwörter durch Brute-Force-Angriffe geknackt werden.
• Kommunikationsdaten: Aufzeichnungen der Kommunikation innerhalb der Plattform, einschließlich privater Nachrichten, Ankündigungen und Forendiskussionen.

Das Abfließen dieser Daten ist nicht nur eine Verletzung der Privatsphäre. Es birgt ein erhebliches Risiko, für Identitätsdiebstahl, gezielte Spear-Phishing-Angriffe und verschiedene andere Betrugsformen verwendet zu werden.

Der technische Aspekt des Angriffs

Dieser Vorfall ist ein klassisches Beispiel für einen Ransomware-Angriff, wenn auch in einer modernen Variante. Ransomware ist eine Art von Schadsoftware, die den Zugriff eines Opfers auf Dateien auf seinem Computersystem blockiert und eine Lösegeldzahlung fordert, um diesen Zugriff wiederherzustellen.

Die von ShinyHunters angewandte Taktik ist als "doppelte Erpressung" bekannt. Die Schritte dieser Methode sind im Allgemeinen wie folgt:

1. Infiltration: Die Angreifer verschaffen sich Zugang zum Netzwerk des Unternehmens, oft durch ein schwaches Passwort, eine Phishing-E-Mail oder eine Software-Schwachstelle.
2. Datenexfiltration: Sobald sie im Netzwerk sind, kopieren sie wertvolle und sensible Daten auf ihre eigenen Server, bevor sie die Systeme verschlüsseln.
3. Verschlüsselung: Nach dem Diebstahl der Daten sperren sie die Dateien auf den Systemen des Unternehmens mit einem starken Verschlüsselungsalgorithmus und machen sie unzugänglich.
4. Lösegeldforderung: Die Angreifer fordern dann Lösegeld für zwei Dinge: den Entschlüsselungsschlüssel zum Entsperren der Dateien und das Versprechen, die gestohlenen Daten nicht zu veröffentlichen.

Die Aussage von Instructure, man habe eine "Vereinbarung getroffen", impliziert höchstwahrscheinlich, dass eine Zahlung geleistet wurde, um die zweite Forderung zu erfüllen – die Verhinderung der Datenveröffentlichung.

Wer sind die betroffenen Benutzer?

Canvas ist eine weltweit genutzte Plattform, von Schulen bis hin zu großen Universitäten. Daher ist der potenzielle Kreis der betroffenen Personen riesig und umfasst verschiedene Gruppen:

• Studierende: Die persönlichen und akademischen Informationen von Studierenden jeden Alters sind gefährdet. Dies ist besonders besorgniserregend bei Minderjährigen.
• Lehrende und Akademiker: Die persönlichen Daten, Kursmaterialien und die Kommunikation von Lehrern, Professoren und Schulpersonal wurden kompromittiert.
• Eltern: Informationen von Eltern, die Zugang zur Plattform haben, um den schulischen Fortschritt ihrer Kinder zu überwachen, könnten ebenfalls Teil des Datenlecks sein.
• Institutionen: Die Schulen, Hochschulen und Universitäten, die Canvas nutzen, stehen vor einer großen Krise in Bezug auf ihren Ruf und ihre rechtliche Haftung.

Was sollten Sie tun?

Wenn Sie ein Canvas-Benutzer sind, ist es entscheidend, proaktive Schritte zu unternehmen, um sich vor der Möglichkeit zu schützen, dass Ihre Daten kompromittiert wurden. Hier sind die Empfehlungen:

1. Ändern Sie sofort Ihr Passwort: Ändern Sie nicht nur Ihr Canvas-Passwort, sondern auch die Passwörter für alle anderen Online-Konten, bei denen Sie dasselbe verwendet haben. Verwenden Sie für jedes Konto einzigartige und starke Passwörter.
2. Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA): Wenn Ihre Einrichtung dies unterstützt, aktivieren Sie 2FA für Ihr Canvas-Konto und andere wichtige Konten (E-Mail, soziale Medien, Banking).
3. Seien Sie wachsam gegenüber Phishing-Angriffen: Cyberkriminelle können Ihre durchgesickerte E-Mail-Adresse und persönliche Informationen nutzen, um Ihnen überzeugendere und personalisierte Phishing-E-Mails zu senden.
4. Verfolgen Sie offizielle Mitteilungen: Achten Sie genau auf offizielle Ankündigungen und Anweisungen sowohl von Instructure als auch von Ihrer eigenen Bildungseinrichtung.

Die Erklärung des Unternehmens

In seiner offiziellen Erklärung erwähnte Instructure, dass es mit Cybersicherheitsexperten und Strafverfolgungsbehörden zusammenarbeitet. Die Erklärung lautete: "Die Sicherheit der Daten unserer Kunden und Benutzer hat für uns höchste Priorität. Nach einer gründlichen Untersuchung haben wir die schwierige Entscheidung getroffen, eine Vereinbarung mit dem Bedrohungsakteur zu treffen, um den Missbrauch von Daten zu verhindern." Das Unternehmen fügte hinzu, dass es zusätzliche Maßnahmen zur Erhöhung der Sicherheit seiner Systeme ergriffen habe und direkt mit den betroffenen Institutionen kommuniziere.

Quelle

https://www.infosecurity-magazine.com/news/canvas-cybercriminals-agreement/