Утечка данных Canvas Сделка с хакерами заключена
Популярная образовательная платформа Canvas подтвердила, что достигла соглашения с хакерами об удалении данных, украденных из ее систем. Это спорное решение вызывает серьезную озабоченность по поводу безопасности данных миллионов студентов и преподавателей.
Обзор инцидента
Canvas, ведущая система управления обучением (LMS), используемая миллионами студентов и преподавателей по всему миру, оказалась в центре крупного инцидента в области кибербезопасности. Согласно заявлению ее материнской компании Instructure, неизвестные хакеры проникли в системы платформы и похитили значительный объем пользовательских данных. Ситуацию усугубило объявление Instructure о том, что компания достигла соглашения с злоумышленниками с целью предотвращения публикации или продажи украденных данных в интернете. Компания заявила, что в обмен на сделку получила от хакеров заверения в том, что данные были безвозвратно удалены. Это решение вызвало бурные дебаты в сообществе кибербезопасности и среди пользователей относительно его этических и практических последствий.
Объем и характер утекших данных
Хотя Instructure воздержалась от предоставления точных цифр о масштабе утечки и количестве затронутых пользователей, характер потенциально скомпрометированных данных вызывает тревогу. Как образовательная платформа, Canvas хранит крайне конфиденциальную информацию о своих пользователях. Типы данных, которые могли быть скомпрометированы, включают:
- Персональные данные (PII): Основные идентификационные данные студентов и преподавателей, такие как полные имена, адреса электронной почты, номера студенческих билетов и даты рождения.
- Академические записи: Оценки, информация о зачислении на курсы, сданные задания, результаты экзаменов и переписка на форумах курсов.
- Контактная информация: Номера телефонов и физические адреса, которые могли быть добавлены в систему учебным заведением.
- Учетные данные для входа: Имена пользователей и, скорее всего, хэшированные пароли. Хотя хэширование обеспечивает уровень безопасности, слабые пароли все еще могут быть взломаны с помощью атак методом перебора (brute-force).
Совокупность этих данных представляет собой ценный ресурс для кражи личных данных, целевых фишинговых атак и других видов мошенничества. В частности, раскрытие академических записей представляет серьезную угрозу конфиденциальности студентов.
Ваш email в утечке? Проверьте бесплатно — результат за секунды.
Проверить →Технический аспект атаки
Компания еще не предоставила технических подробностей о том, как злоумышленники проникли в ее системы. Такая информация часто остается конфиденциальной в ходе текущих расследований. Однако распространенные векторы атак, наблюдаемые при взломах аналогичных крупных платформ, включают:
- Эксплуатация уязвимости: Использование ранее неизвестной (уязвимость нулевого дня) или известной, но неисправленной уязвимости в программном обеспечении платформы или серверной инфраструктуре.
- Фишинг: Изощренная фишинговая атака, нацеленная на сотрудника компании с привилегированным доступом. Кража учетных данных этого сотрудника могла предоставить злоумышленникам первоначальную точку входа в сеть.
- Неправильно настроенное облачное хранилище: Некорректно настроенные права доступа к облачным хранилищам, таким как Amazon S3, где хранятся данные клиентов, могли сделать данные общедоступными или легкодоступными для злоумышленников.
- Риск интеграции со сторонними сервисами: Компрометация стороннего поставщика услуг, интегрированного с Canvas, могла быть использована злоумышленниками как отправная точка для проникновения в сеть Canvas.
Хотя Instructure заявила, что работает с фирмами по кибербезопасности и правоохранительными органами, ее решение вести переговоры с хакерами может быть истолковано как признак того, что они с трудом контролировали ситуацию.
Кто из пользователей пострадал?
Canvas обслуживает широкий спектр учебных заведений по всему миру, от школ K-12 до самых престижных университетов мира. Следовательно, потенциальная аудитория, затронутая этой утечкой, огромна:
- Студенты: Личные и академические данные миллионов студентов всех возрастов находятся под угрозой.
- Преподаватели: Контактная информация и учебные материалы, загруженные учителями, профессорами и инструкторами, могли быть раскрыты.
- Администраторы учебных заведений: Информация персонала с административным доступом к системе и данные учреждения могли быть скомпрометированы.
Утечка напрямую затрагивает не только отдельных пользователей, но и репутацию и безопасность учебных заведений, которые полагаются на эту платформу.
Что вам следует делать?
Если вы являетесь пользователем Canvas, настоятельно рекомендуется принять превентивные меры, несмотря на заверения компании в том, что данные были удалены:
- Немедленно смените пароль: Смените пароль от своей учетной записи Canvas на надежный и уникальный. Если вы используете этот пароль на других платформах, обязательно смените и их.
- Включите двухфакторную аутентификацию (2FA): Если для вашей учетной записи Canvas или связанной с ней школьной системы доступна 2FA, немедленно включите ее. Это значительно предотвратит несанкционированный доступ к вашей учетной записи, даже если ваш пароль будет украден.
- Остерегайтесь фишинговых атак: Злоумышленники могут использовать ваш украденный адрес электронной почты и личную информацию для отправки убедительных, персонализированных фишинговых писем. Избегайте перехода по ссылкам и загрузки вложений из подозрительных писем, которые якобы пришли от Canvas или вашего учебного заведения.
- Следите за своими учетными записями: Следите за любой подозрительной активностью в других ваших онлайн-аккаунтах.
Заявление компании
В своем официальном заявлении Instructure подчеркнула, что сразу после обнаружения инцидента начала работать с командой экспертов по кибербезопасности и что уязвимости в ее системах были устранены. Компания защитила свое решение вести переговоры с хакерами, заявив: «Наш приоритет — защита данных наших пользователей», и что соглашение было необходимым шагом для предотвращения широкого распространения данных. Однако этот подход был подвергнут резкой критике со стороны экспертов по безопасности за финансирование киберпреступности и поощрение будущих атак. Тот факт, что практически невозможно проверить, действительно ли хакеры удалили данные, ставит под серьезное сомнение эффективность такой сделки.