Instructure заключила сделку для остановки утечки данных
Гигант в сфере образовательных технологий Instructure, создатель популярной системы управления обучением Canvas, подтвердил заключение 'соглашения' с группой вымогателей ShinyHunters для предотвращения утечки украденных данных. Этот шаг вызвал серьезные дебаты об этике и последствиях выплат киберпреступникам.
Обзор события
Компания Instructure, ведущее имя в секторе образовательных технологий и разработчик системы управления обучением (LMS) Canvas, используемой миллионами студентов и преподавателей по всему миру, сделала заявление, которое потрясло мир кибербезопасности. Компания объявила о достижении «соглашения» с известной киберпреступной группой ShinyHunters с целью предотвратить публикацию в интернете данных, украденных в результате недавней кибератаки. Этот инцидент в очередной раз демонстрирует, какой хрупкий баланс приходится поддерживать компаниям между непрерывностью операционной деятельности, репутацией и безопасностью пользовательских данных.
ShinyHunters — это финансово мотивированная группа злоумышленников, которая за последние годы стала известна благодаря многочисленным громким утечкам данных. Обычно они проникают в сети крупных корпораций, крадут ценные данные, а затем требуют выкуп в обмен на их неразглашение. Использование Instructure термина «соглашение» обычно подразумевает, что киберпреступникам была произведена оплата. Хотя компании часто избегают прямого подтверждения таких платежей, в кругах кибербезопасности принято считать, что был уплачен выкуп, чтобы остановить утечку данных. Эта ситуация противоречит рекомендациям правоохранительных органов, таких как ФБР, которые настоятельно не советуют платить киберпреступникам, и порождает сложную этическую дискуссию.
Украденные данные и масштаб утечки
Хотя Instructure воздержалась от предоставления подробной информации о точном характере украденных данных, известно, что система управления обучением по своей природе содержит অত্যন্ত конфиденциальную информацию. Типы данных, которые потенциально могли быть украдены, включают:
Ваш email в утечке? Проверьте бесплатно — результат за секунды.
Проверить →- Личная идентифицирующая информация (PII): Полные имена, адреса электронной почты, студенческие билеты и другая идентифицирующая информация студентов и преподавателей.
- Академические данные: Расписания курсов, оценки, сданные задания и записи об академической успеваемости.
- Данные для связи: Внутренние системные сообщения и объявления.
- Учетные данные для входа: Имена пользователей и, возможно, хеши паролей.
Учитывая, что платформа Canvas используется тысячами университетов, колледжей и школ K-12 по всему миру, потенциальный масштаб утечки может затронуть миллионы пользователей. Утечка этих данных может быть использована для множества вредоносных действий, от фишинговых атак до кражи личных данных. В частности, академические данные несут риск использования в качестве материала для шантажа студентов.
Технические аспекты атаки
Технические детали того, как была осуществлена атака, пока не раскрыты Instructure. Однако, учитывая распространенные векторы атак, используемые группами, подобными ShinyHunters, можно рассмотреть несколько возможных сценариев. Первый — это взлом через учетные данные администратора, полученные в результате успешной фишинговой атаки на сотрудника компании. Другая возможность — это эксплуатация уязвимости нулевого дня (zero-day) в программном обеспечении, используемом компанией, или в сторонней библиотеке. Кроме того, источником утечки мог стать неверно сконфигурированный сервер или база данных в облачной инфраструктуре (например, общедоступный бакет Amazon S3).
Кто пострадал
Непосредственно пострадавшими от этой утечки данных являются студенты, преподаватели, административный персонал и даже родители в учебных заведениях, использующих Canvas LMS. Атака на платформу, находящуюся в центре повседневной учебной жизни миллионов людей, показывает, насколько широким может быть ее воздействие. Эти лица сталкиваются с риском неправомерного использования их украденных данных.
Что следует делать
Если вы студент или сотрудник учебного заведения, использующего Canvas, важно предпринять проактивные шаги для обеспечения безопасности ваших данных. Настоятельно рекомендуется принять следующие меры:
- Немедленно смените пароль: Смените пароль от своей учетной записи Canvas и всех других учетных записей, где вы использовали тот же пароль. Убедитесь, что ваши новые пароли надежны, сложны и уникальны для каждой платформы.
- Включите двухфакторную аутентификацию (2FA): Если ваше учебное заведение поддерживает эту функцию, обязательно включите двухфакторную аутентификацию для своей учетной записи Canvas. Это дополнительный уровень безопасности, который предотвращает несанкционированный доступ, даже если ваш пароль украден.
- Остерегайтесь фишинговых атак: Будьте особенно осторожны с электронными письмами, которые вы будете получать в ближайшее время и которые якобы отправлены от имени Instructure или вашего учебного заведения. Не переходите по подозрительным ссылкам и не загружайте неожиданные вложения.
- Проверьте наличие утечек данных: Вы можете использовать надежный инструмент для Поиск утечки данных, чтобы проверить, не были ли скомпрометированы ваши личные данные в других утечках. Это даст вам представление об общем состоянии вашей цифровой безопасности.
Заявление компании
В официальном заявлении Instructure говорится, что компания серьезно относится к ситуации и работает в сотрудничестве с экспертами по кибербезопасности и правоохранительными органами. Компания подтвердила, что «было достигнуто соглашение для предотвращения дальнейшего распространения данных», но не предоставила финансовых подробностей этого соглашения. Они также подчеркнули, что пересматривают свои меры безопасности и намерены укреплять свою инфраструктуру, чтобы предотвратить подобные инциденты в будущем. Однако таких заявлений оказалось недостаточно, чтобы подавить споры, вызванные решением заплатить выкуп киберпреступникам.