ShinyHunters útočí na Penn Canvas, 300 tisíc uživatelů v ohrožení

ShinyHunters útočí na Penn Canvas, 300 tisíc uživatelů v ohrožení

Kybernetická zločinecká skupina ShinyHunters donutila vzdělávací portál Canvas Pensylvánské univerzity přejít do offline režimu poté, co tvrdí, že ukradla data více než 300 000 affiliovaných osob Penn. Skupina stanovila termín pro vyjednávání o výkupném na 12. května a hrozí veřejným zveřejněním odcizených souborů, pokud univerzita nevyhoví. Incident je součástí rozsáhlejšího narušení bezpečnosti společnosti Instructure, která vlastní a provozuje platformu Canvas využívanou univerzitami a školami po celé zemi.

Kompromitovaná data podle dostupných informací zahrnují záznamy o zápisu do kurzů a interní zprávy — tedy citlivé institucionální informace, které studenti, pedagogové a zaměstnanci nikdy neočekávají v rukou zločinců. Pro populaci, která každodenně používá své univerzitní účty, představuje toto narušení jak logistický výpadek, tak vážné obavy o soukromí.

Co je ShinyHunters a proč na tom záleží

ShinyHunters není v kybernetických bezpečnostních kruzích novým jménem. Skupina je spojována s řadou vysoce profilovaných krádeží dat v průběhu posledních několika let a zaměřuje se na organizace, kde jsou velké objemy osobních dat shromážděny v centralizovaných platformách. Vzdělávací instituce tomuto profilu téměř dokonale odpovídají: shromažďují jména, e-mailové adresy, údaje o zápisu, finanční informace, akademické záznamy a soukromou komunikaci — vše uložené v systémech, které jsou z hlediska bezpečnosti často nedostatečně vybaveny.

V tomto případě se zdá, že útočný vektor začal u společnosti Instructure, dodavatele na straně poskytovatele, spíše než u vlastní infrastruktury Penn. Toto rozlišení je důležité. I pokud má univerzita solidní interní bezpečnostní postupy, je chráněna pouze do té míry, do jaké jsou chráněny platformy třetích stran, na nichž závisí. Jedná se o strukturální zranitelnost, která se dotýká prakticky každé instituce používající cloudový systém pro správu výuky.

Termín výkupného 12. května přidává naléhavost již tak rušivé situaci. Studenti a pedagogové ztratili přístup k výukovým materiálům, úkolům a komunikaci v kritickém bodě akademického kalendáře — připomínka toho, že ransomwarové útoky mají reálné důsledky přesahující pouhé odcizení dat.

Proč jsou univerzity lukrativními cíli

Instituce vyššího vzdělávání se staly oblíbeným lovištěm pro skupiny zabývající se ransomwarem i pro překupníky dat. K jejich atraktivitě jako cílů přispívá několik faktorů.

Za prvé, univerzity drží obrovské množství osobně identifikovatelných informací o desítkách tisíc lidí, přičemž tyto informace často zahrnují i nezletilé v programech duálního zápisu. Za druhé, akademické kalendáře vytvářejí předvídatelná okna s vysokým tlakem — například zkouškové období — kdy narušení systému způsobuje maximální škody a zvyšuje pravděpodobnost rychlého vyplacení výkupného. Za třetí, IT rozpočty na většině univerzit jsou rozkládány mezi konkurenční priority, což znamená, že bezpečnostní infrastruktura může zaostávat za sofistikovaností moderních hrozeb.

Narušení bezpečnosti Penn navazuje na vzorec pozorovaný na desítkách institucí v posledních letech. Když je kompromitován jediný dodavatel jako Instructure, poloměr dopadu zasahuje každou klientskou instituci, čímž se ekonomika útoku stává pro útočníka vysoce efektivní.

Co to znamená pro vás

Pokud jste studentem, pedagogem nebo zaměstnancem Penn či jakékoli jiné instituce používající Canvas, toto narušení je přímým signálem k přehodnocení vašich návyků digitální hygieny ohledně institucionálních účtů.

Začněte heslem. Univerzitní přihlašovací údaje jsou často znovu používány pro osobní e-mail, sociální sítě a další služby. Pokud se vaše přihlašovací heslo Penn shoduje s čímkoli jiným, co používáte, změňte ho nyní na všech platformách. Povolte vícefaktorové ověřování na každém účtu, který ho podporuje, s prioritou e-mailu a jakéhokoli účtu spojeného s finančními nebo akademickými záznamy.

V nadcházejících týdnech buďte obezřetní ohledně phishingových pokusů. Útočníci, kteří získali údaje o zápisu a interní zprávy, mohou sestavovat vysoce přesvědčivé e-maily, které vypadají, jako by pocházely od univerzitní administrativy nebo profesorů. Pokud obdržíte neočekávanou zprávu žádající vás o kliknutí na odkaz nebo poskytnutí přihlašovacích údajů, ověřte ji prostřednictvím oficiálních kanálů dříve, než podniknete jakoukoli akci.

Stojí také za to zamyslet se nad širším principem minimalizace dat. Čím více osobních dat je uloženo na jediné platformě, tím větší je expozice v případě, že tato platforma je narušena. Pokud je to možné, vyhněte se ukládání citlivých osobních informací v institucionálních systémech nad rámec toho, co je nezbytné.

Pro uživatele, kteří přistupují k univerzitním systémům ze sdílených sítí, jako je kampusová Wi-Fi nebo veřejné přístupové body, může použití renomované sítě VPN snížit riziko zachycení přihlašovacích údajů při přenosu. Ačkoli by VPN narušení Instructure nezabránila, ochrana vašeho připojení je zdravým základním návykem pro každého, kdo pravidelně pracuje s citlivými přihlašovacími údaji.

Klíčové závěry

Útok ShinyHunters na systém Canvas Penn je připomínkou toho, že žádná instituce není příliš velká nebo příliš posláním motivovaná, aby se stala terčem útoku. Narušení bezpečnosti dodavatele na straně poskytovatele, jako je Instructure, ukazuje, že jednotlivé instituce mohou být poškozeny i bez přímého útoku na jejich vlastní systémy.

Pro více než 300 000 lidí, jejichž data mohla být odhalena, jsou okamžité kroky přímočaré: změňte hesla, povolte vícefaktorové ověřování a zůstaňte obezřetní ohledně phishingu. Pro univerzitní administrátory a IT týmy incident posiluje argumenty pro důkladné hodnocení bezpečnosti dodavatelů a smluvní požadavky na minimalizaci dat.

Termín 12. května přijde a pomine, ale samotná data, jakmile jsou ukradena, nezmizí. Ať už Penn vyjednává nebo odmítá, dotčení uživatelé by měli jednat v předpokladu, že jejich informace jsou v oběhu, a přijmout odpovídající ochranná opatření.