Второто пробиване на данни в Canvas нарушава изпити в Penn State и отвъд
Втори инцидент с неоторизиран достъп, насочен към платформата Canvas на Instructure на 7 май, предизвика сериозни сътресения във висшето образование, принуждавайки университети, включително Penn State, да отменят изпити, да ограничат достъпа до платформата и да търсят спешни резервни планове. Пробивът на данни в Canvas, засягащ училища и колежи, представлява тревожна ескалация в атаките срещу централизираните образователни технологии, поставяйки чувствителните академични и лични данни на милиони студенти директно в прицела.
Какво се случи при второто пробиване на Instructure
На 7 май Instructure потвърди втори инцидент с неоторизиран достъп, засягащ системата за управление на обучението Canvas. Въпреки че пълните технически подробности остават ограничени, пробивът последва отблизо предишен инцидент, което предполага, че или оригиналната уязвимост не е била напълно отстранена, или нападателите са намерили нов път към инфраструктурата на платформата.
Instructure заяви, че проблемът в крайна сметка е бил разрешен и Canvas се е върнал в пълна оперативна готовност, без доказателства за продължаващ неоторизиран достъп към момента на оповестяването. Тази увереност обаче не успя да успокои тревогата сред хилядите училища, които разчитат на Canvas за провеждане на курсове, оценявания и съхраняване на чувствителни студентски записи.
Този втори инцидент е част от по-широк модел на атаки срещу Instructure. Както е разгледано в Пробивът на ShinyHunters засяга Instructure Canvas: Студентите са изложени на риск, известната хакерска група ShinyHunters предварително потвърди пробив, засягащ милиони студенти и преподаватели в институции по целия свят. Инцидентът от 7 май задълбочава това по-ранно компрометиране, пораждайки въпроси дали са били въведени адекватни подобрения на сигурността в междинния период.
Кои училища бяха засегнати и как
Университетът Penn State беше сред най-засегнатите институции, отменяйки планирани изпити и временно ограничавайки достъпа на преподаватели и студенти до Canvas. Времето се оказа особено неблагоприятно, тъй като пробивът удари в период, когато много колежи и университети бяха насред изпитната сесия — когато студентите разчитат най-много на платформата за предаване на задания, достъп до учебни материали и полагане на онлайн изпити.
Освен Penn State, системите на Калифорнийския университет и Калифорнийския държавен университет също бяха засегнати, наред с институции из Вирджиния и други щати. Международният обхват на пробива, достигащ до университети по целия свят, подчертава колко дълбоко Canvas се е вградил в академичната инфраструктура навсякъде.
За студентите практическите последици надхвърляха пропуснатия краен срок. Отмените на изпити създадоха организационен хаос за завършващи студенти и тези с академични изисквания с определени срокове. Преподавателите се изправиха пред предизвикателството да комуникират със студентите чрез резервни канали при кратко предизвестие, а администраторите трябваше да вземат бързи решения дали да се доверят на платформата, докато се провежда активно разследване.
Защо централизираните платформи за образователни технологии представляват риск за личната неприкосновеност
Повтарящото се насочване срещу Instructure подчертава структурен проблем в съвременните образователни технологии: концентрацията на чувствителни данни от хиляди институции върху инфраструктурата на един-единствен доставчик. Canvas обслужва приблизително 9 000 или повече образователни институции в световен мащаб. Този мащаб създава изключително ценна цел за киберпрестъпниците, тъй като едно успешно пробиване може да даде академични записи, лично идентифицираща информация и потенциално финансови данни на милиони хора наведнъж.
Това е определението за единична точка на отказ. Когато дадена учебна система управлява собствена локална инфраструктура, едно пробиване е увредително, но ограничено. Когато хиляди училища предоставят данните си на една платформа, радиусът на поражение от всяка атака става огромен. Групата ShinyHunters разпозна това, когато съобщи, че е осъществила достъп до почти 275 милиона записа в свързан инцидент с Instructure, както е описано подробно в ShinyHunters претендира за 275 милиона записа при пробива на Instructure.
Регулаторни рамки като FERPA в Съединените щати изискват от образователните институции да защитават студентските записи, но задълженията и механизмите за прилагане стават сложни, когато данните се съхраняват от доставчик трета страна. Училищата могат да се изправят пред правна отговорност, въпреки че не са били преки цели на атаката.
Как студентите и персоналът могат да защитят чувствителните академични данни
Въпреки че институционалните решения за сигурност са от компетентността на администраторите и IT отделите, съществуват конкретни стъпки, които студентите и персоналът могат да предприемат, за да намалят личната си изложеност.
Използвайте силни, уникални пароли. Ако използвате повторно една и съща парола в множество платформи и идентификационните данни за Canvas бъдат компрометирани, нападателите могат да опитат атаки с препълване на идентификационни данни срещу вашата електронна поща, банкови или други акаунти. Използвайте мениджър на пароли, за да генерирате и съхранявате уникални идентификационни данни за всяка услуга.
Активирайте многофакторно удостоверяване навсякъде, където е възможно. Canvas и повечето институционални SSO системи поддържат MFA. Активирането му означава, че открадната парола сама по себе си е недостатъчна, за да може нападателят да получи достъп до акаунта ви.
Бъдете нащрек за фишинг опити. След голямо пробиване нападателите често изпращат последващи фишинг имейли, представяйки се за засегнатата платформа или самата институция. Третирайте всеки непоискан имейл, който ви иска да нулирате идентификационните данни или да потвърдите данните на акаунта, с подозрение. Отидете директно на официалния институционален URL адрес, вместо да кликате върху връзки в имейла.
Следете академичните и личните си записи. Ако вашата институция потвърди, че данните ви са включени в пробива, помислете за поставяне на кредитно замразяване и следене за признаци на злоупотреба с идентичност. Академичните записи и студентските лични карти могат да се използват при целенасочени атаки за социално инженерство.
Поискайте от вашата институция конкретна информация. Училищата имат задължение по FERPA да уведомяват студентите за пробиви, засягащи техните записи. Не чакайте пасивно; свържете се с регистратурата или IT отдела и попитайте директно какви данни са засегнати и какви защитни стъпки се предприемат от ваше име.
Какво означава това за вас
Второто пробиване на данни в Canvas, засягащо училища и колежи, е напомняне, че удобството и централизацията носят компромиси. Милиони студенти се довериха, че техните академични институции и доставчиците, на които тези институции разчитат, пазят личната им информация. Това доверие беше изпитано два пъти за кратък период.
За студентите и преподавателите практическият приоритет в момента е да защитят личните акаунти и да бъдат нащрек за последващи атаки. За институциите пробивът трябва да провокира сериозен преглед на изискванията за сигурност към доставчиците, практиките за минимизиране на данните и плановете за непрекъснатост при спиране или компрометиране на платформи на трети страни.
За да разберете пълния обхват на атаките, свързани с Instructure, и участващите заплашителни участници, прегледайте подробното отразяване на пробива на ShinyHunters, свързано по-горе. Познаването на произхода и методите зад тези инциденти е първата стъпка към застъпничество за по-силна защита от платформите, на които вие и вашата институция разчитате всеки ден.
