ShinyHunters удря Canvas: 275 милиона студентски записа са застрашени
Нарушението на сигурността на данните на студентите при кибератаката срещу Canvas, което разтърси близо 9 000 институции по целия свят, е отново онлайн, но заплахата далеч не е отминала. Хакерската група ShinyHunters пое отговорност за срива на широко използваната платформа за управление на обучението, като твърди, че е получила достъп до записи на до 275 милиона лица, включително студенти, преподаватели и административен персонал. Групата заплаши да публикува данните, освен ако не бъде платен откуп, превръщайки прекъсването на услугата в дългосрочна криза на поверителността за милиони хора.
Canvas, управлявана от Instructure, е една от най-широко разгърнатите системи за управление на обучението в света. Именно нейният мащаб я превърна в мишена.
Защо образователни платформи като Canvas са предпочитани цели за ransomware атаки
Училищата и университетите заемат особено уязвима позиция в ransomware икономиката. Те съхраняват огромни количества чувствителни лични данни — от записи на непълнолетни и подробности за финансова помощ до информация за трудовата заетост на персонала и институционални идентификационни данни. Въпреки това те обикновено работят с по-ограничени бюджети за сигурност в сравнение с финансовите институции или големите корпорации, а техните мрежи са умишлено проектирани да бъдат отворени и достъпни, за да подкрепят обучението.
Системите за управление на обучението като Canvas са особено привлекателни, тъй като се намират на пресечната точка на идентичност, комуникация и записи. Едно нарушение не разкрива просто потребителско име и парола. То може да разкрие предадени задания, директни съобщения, история на оценките, данни за записване и в някои случаи финансови записи или записи за здравни accommodations, свързани с профилите на студентите. Именно тази дълбочина на информацията отличава нарушение на образователна платформа от обикновено изтичане на идентификационни данни.
ShinyHunters не е нов участник. Групата е свързвана преди с мащабни операции по кражба на данни, насочени към потребителски платформи. Навлизането им в образователната инфраструктура сигнализира за пресметнато ескалиране — удар по сектори, където натискът от престоя е голям, а времето, в средата на семестъра и близо до финалните изпити за много институции, максимизира лоста.
Какви данни твърди ShinyHunters, че е откраднала, и какво е застрашено
Групата твърди, че е ексфилтрирала записи за 275 милиона лица — цифра, която, ако е точна, би превърнала това в едно от най-мащабните нарушения в образователния сектор. Съобщените категории откраднати данни включват лични съобщения, обменяни в платформата, записи за записване и академични записи, както и лично идентифицируема информация за студенти и персонал.
За засегнатите потребители рисковият профил е многопластов. На най-основно ниво, разкритите имейл адреси и пароли могат да бъдат използвани при атаки за пълнене с идентификационни данни срещу други платформи. По-тревожно е потенциалното разкриване на историята на институционалната комуникация. Лични съобщения между студенти и преподаватели, искания за accommodations и спорове относно оценки — всичко това може да бъде използвано за целенасочен фишинг, социално инженерство или дори изнудване на индивидуално ниво.
Непълнолетните са специфичен проблем. Много K-12 институции използват Canvas, което означава, че определена част от твърдените 275 милиона записа може да принадлежат на деца под 13 години, което задейства допълнителни правни задължения и задължения за уведомяване съгласно закони като COPPA в Съединените щати.
Незабавни стъпки, които потребителите на Canvas трябва да предприемат, за да се защитят
Възстановяването на услугата на платформата не означава, че рискът е отминал. Данните, които вече са ексфилтрирани, остават в ръцете на нападателя независимо от статуса на наличност. Ето какво трябва да направят потребителите сега.
Първо, сменете паролата си за Canvas незабавно и не използвайте повторно новата парола в никоя друга услуга. Ако сте използвали същата парола в други платформи, сменете и тях. Активирайте многофакторно удостоверяване за всеки акаунт, който го поддържа, като приоритизирате имейл акаунтите и всяка платформа, свързана с вашата студентска или институционална идентичност.
Второ, внимавайте за опити за фишинг. Нападателите, които притежават вашите институционални данни, знаят вашето име, вашето училище и потенциално имената на вашите преподаватели. Фишинг имейлите, които изглеждат като изпратени от вашия университет или от самия Canvas, ще бъдат необичайно убедителни през следващите седмици. Отнасяйте се с скептицизъм към всяка непоискана връзка, дори ако подателят изглежда легитимен.
Трето, помислете колко много може да разкрива активността ви в браузъра след подобно нарушение. Когато влезете в компрометиран акаунт от ново устройство или необичайно местоположение, потенциално се проследява повече от паролата ви. Разбирането на fingerprinting на браузъра е уместно тук: дори без бисквитки, уебсайтовете и злонамерените участници могат да ви идентифицират чрез уникална комбинация от сигнали на браузъра и устройството. Ако идентификационните ви данни са разкрити, дейността по възстановяване в споделени или институционални мрежи може да разкрие повече за поведението и самоличността ви, отколкото очаквате.
По-широкият урок: Институционалните нарушения и вашата лична хигиена на данните
Нарушението на сигурността на студентските данни при кибератаката срещу Canvas е напомняне, че личната хигиена на данните не може да бъде делегирана на институциите, които съхраняват вашата информация. Организации от всякакъв размер биват пробивани. Въпросът е колко щети може да нанесе едно нарушение конкретно на вас — а отговорът зависи почти изцяло от изборите, които сте направили преди инцидента.
Повторното използване на пароли остава най-лесно използваната уязвимост на индивидуално ниво. Ако идентификационните ви данни за Canvas съвпадат с вашия имейл логин, банковото ви приложение или друга услуга, тази връзка превръща едно нарушение в много. Мениджърът на пароли елиминира този проблем почти изцяло и изисква малко текущи усилия след настройването.
Извън идентификационните данни, струва си да одитирате каква информация сте съхранили доброволно в платформите, които използвате редовно. Стари съобщения, документи с лична информация и данни от профила, които са изглеждали безобидни при въвеждането им, могат да се натрупат в детайлен профил, полезен за измами или социално инженерство години след факта.
Институционалните нарушения няма да изчезнат. ShinyHunters и подобни групи ще продължат да атакуват хранилища с ценни данни, а образователните институции ще останат в този списък. Най-ефективният отговор е да намалите индивидуалната си уязвимост, така че когато се случи следващото нарушение, рискът ви да е ограничен.
Започнете с одит на текущата си сигурност на акаунтите в платформите, към които се свързвате чрез институционални идентификационни данни. Проверете дали някой от вашите имейли се е появил в предишни нарушения, използвайки надеждна услуга за уведомяване при нарушения. И преосмислете колко много може да разкрива вашата онлайн активност за вас извън обикновена парола — защото, както демонстрира fingerprinting на браузъра, съвременното проследяване означава, че вашата самоличност може да persists дори след като смените всеки идентификационен данни, който притежавате.
