ShinyHunters iskee Canvakseen kahdesti viikossa – kongressi vaatii vastauksia
Canvas-tietomurron opiskelijoiden tietosuojakriisi eskaloitui Capitol Hillille. Edustajainhuoneen sisäisen turvallisuuden valiokunnan puheenjohtaja Andrew Garbarino on virallisesti pyytänyt tiedotustilaisuutta Instructurelta, laajalti käytetyn Canvas-oppimisalustan taustalla olevalta yritykseltä, sen jälkeen kun pahamaineinen ShinyHunters-hakkerointiryhmä murtautui alustalle paitsi kerran, myös toisen kerran saman viikon aikana. Tapaus on altistanut miljoonia opiskelijoita, opettajia ja oppilaitosten henkilöstöä mahdolliselle tietovarkaudelle, ja Instructure on sittemmin sopinut hakkereiden kanssa varastetun tiedon poistamisesta – ratkaisu, joka herättää vähintään yhtä paljon kysymyksiä kuin antaa vastauksia.
Mitä ShinyHuntersin tietomurto paljasti Canvaksen tietoturvasta
ShinyHunters-ryhmä ei ole kyberturvallisuuspiireissä tuntematon nimi. Sama ryhmittymä on yhdistetty joihinkin viime vuosien suurimmista tietovarkauksista, ja sen kohteisiin on kuulunut kaikkea pilvitallennusalustoista kuluttajasovelluksiin. Canvakseen murtautuminen kahdesti saman viikon aikana viestii jotain häiritsevämpää kuin yksittäinen opportunistinen hyökkäys: se viittaa siihen, että Instructuren tietoturvavastetoimet ensimmäisen tapauksen jälkeen olivat joko liian hitaita tai riittämättömiä sulkemaan haavoittuvuudet, jotka ryhmä oli jo tunnistanut ja hyödyntänyt.
Tietomurron yhteydessä paljastuneisiin tietoihin kuuluvat raportit mukaan opiskelijoiden tunnusnumerot, sähköpostiosoitteet, täydelliset nimet sekä alustalla lähetetyt yksityisviestit. Raporttien mukaan hakkerit väittivät varastaneensa yli 275 miljoonaa tietuetta. Instructuren päätös neuvotella sopimus ShinyHuntersin kanssa – tiettävästi varastetun datan poistamisen turvaamiseksi – on herättänyt skeptisyyttä niin tietoturvatutkijoiden kuin lainsäätäjienkin keskuudessa. Ei ole olemassa luotettavaa teknistä mekanismia, jolla voitaisiin varmistaa, että varastettu data on pysyvästi poistettu sen jälkeen, kun sopimus rikollisryhmän kanssa on tehty.
Kongressin valvonta on nyt suoraan mukana kuvioissa. Puheenjohtaja Garbarinon pyyntö virallisesta tiedotustilaisuudesta asettaa Instructuren epätavalliseen asemaan, jossa sen täytyy selittää tietoturva-arkkitehtuurinsa ja tapausvasteensa liittovaltion lainsäätäjille – lopputulos, joka todennäköisesti muovaa sitä, kuinka oppimistekniikan tarjoajia tullaan jatkossa sääntelemään.
Miksi oppimisalustat ovat hakkereille ensisijaisia kohteita
Koulut ja yliopistot ovat johdonmukaisesti sijoittuneet useimmin hyökkäysten kohteeksi joutuneisiin sektoreihin kyberturvallisuuspoikkeamaraporteissa. Syyt ovat rakenteellisia. Oppilaitokset toimivat tyypillisesti tiukoin IT-budjetein, ylläpitävät laajoja ja hajanaisia käyttäjäkuntia sekä tallentavat rikkaan yhdistelmän henkilökohtaisia tunnisteita kaiken ikäisiltä opiskelijoilta, mukaan lukien alaikäiset. Alusta kuten Canvas kokoaa tämän datan mittakaavassa tuhansien oppilaitosten kesken samanaikaisesti, mikä tekee yhdestä onnistuneesta tietomurrosta poikkeuksellisen arvokkaan uhkatoimijoille.
ShinyHunters-ryhmä ja sitä vastaavat toimijat operoivat data-taloudessa, jossa massatietueet käyvät kaupaksi todellisiin hintoihin pimeän verkon markkinapaikoilla. Opiskelijoiden tiedot ovat erityisen pitkäkestoisia: henkilön nimi, sähköposti ja oppilaitoksen tunnusnumero eivät muutu usein, mikä antaa varastetuille tietueille pidemmän "säilyvyysajan" kuin esimerkiksi maksukorttitiedoille, jotka voidaan sulkea nopeasti.
Laajempi konteksti on tässä myös merkityksellinen. Kun valtion joukkovalvonta ja kaupalliset datatietoostot joutuvat yhä kasvavan tarkastelun kohteeksi, kysymys siitä, kuka pitää hallussaan arkaluonteisia henkilötietoja ja millä ehdoilla, on muuttunut aktiiviseksi poliittiseksi keskusteluksi. Keskitetyillä alustoilla sijaitseva koulutusdata on osa tätä keskustelua.
Mitä tietoja opiskelijoilla ja opettajilla on vaarassa Canvaksessa
Canvas ei ole yksinkertainen viestintäväline. Miljoonille opiskelijoille ja opetushenkilöstölle se toimii heidän akateemisen elämänsä operatiivisena selkärankana. Se säilyttää tehtäväpalautuksia, arvioituja suorituksia, opiskelijoiden ja opettajien välisiä suoraviestejä, kurssille ilmoittautumistietoja sekä monissa tapauksissa integraatioita ulkoisiin työkaluihin, jotka lisäävät henkilökohtaisten tietojen kerroksia.
Nimen, oppilaitoksen sähköpostiosoitteen ja opiskelijanumeron yhdistelmä riittää kohdennettujen tietojenkalasteluyritysten, manipulointiyritysten ja joissakin tapauksissa identiteettivarkauden mahdollistamiseen. Alustan yksityisviestit saattavat sisältää arkaluonteisia akateemisia keskusteluja, professoreiden kanssa jaettuja henkilökohtaisia olosuhteita tai viestintää mukautuksista ja terveydellisistä asioista. Tämä ei ole yleistä yhteystietodataa: se on kontekstuaalisesti rikasta henkilökohtaista tietoa, jota voidaan käyttää aseena erityisillä ja vahingollisilla tavoilla.
Opettajille riskit ulottuvat ammatilliseen maineeseen ja oppilaitoksen vastuukysymyksiin. Canvakseen tallennettu opetushenkilöstön viestintä, arvosanakirjanpito ja kurssimateriaali voidaan paljastaa tai sitä voidaan manipuloida. Oppilaitokset itse kohtaavat mahdollisia ilmoitusvelvoitteita osavaltion tietomurtolainsäädännön nojalla, sillä useat osavaltiot edellyttävät oikea-aikaista ilmoittamista asianomaisille henkilöille.
Tämä tapaus muistuttaa myös siitä, että valvontaa ja tietojen käyttöä koskevat lainsäädännölliset viitekehykset eivät ole pysyneet sen perässä, kuinka syvälle henkilökohtaiset tiedot ovat nyt uppoutuneet oppimistekniikan alustoihin. Kongressin väittelyt, kuten FISA:n pykälä 702:n ympärillä käydyt, havainnollistavat, kuinka vaikea lainsäätäjien on puuttua tietojen paljastumiseen ennakoivasti, jättäen usein yksilöt hallitsemaan omia riskejään.
Tietosuojaohjeita opiskelijoille oppilaitostietomurtojen jälkeen
Oppilaitosten turvallisuustoimenpiteet ovat viime kädessä opiskelijan vaikutusmahdollisuuksien ulkopuolella. Mitä yksilöt voivat tehdä, on pienentää mahdollisen tietomurron vaikutusaluetta.
Aloita perusteista. Vaihda Canvas-tiliisi liittyvät salasanat sekä kaikki muut tilit, joissa käytät samoja tunnuksia. Ota kaksivaiheinen tunnistautuminen käyttöön oppilaitoksen sähköpostissasi ja kaikissa yhdistetyissä tileissä. Ole erityisen valppaana tietojenkalastelusähköpostien suhteen viikkojen ajan tietomurron jälkeen: hyökkääjät, jotka hankkivat sähköpostiosoitteita ja nimiä, käyttävät usein näitä tietoja vakuuttavien jatkosyöttien luomiseen.
Seuraa sähköpostitiliesi epätavallista kirjautumisaktiviteettia ja harkitse luottopakastuksen tai petosvaroituksen asettamista suurille luottotietotoimistoille, jos olet huolissasi siitä, että tietojasi voitaisiin käyttää identiteettivarkauteen. Alle 18-vuotiaiden opiskelijoiden vanhempien tulisi tarkistaa lastensa luottotiedot, sillä alaikäisiä kohdennetaan usein juuri siksi, että heidän nimiinsä avatut petolliset tilit voivat jäädä havaitsematta vuosiksi.
Pidemmän aikavälin näkökulmasta Canvas-tietomurto on hyödyllinen muistutus siitä, ettei yksikään oppilaitos tai alusta voi täysin suojata henkilökohtaisia tietojasi. Arkaluonteisten tietojen hajauttaminen eri paikkoihin, aliassähköpostiosoitteiden tai toissijaisten sähköpostiosoitteiden käyttäminen oppilaitosrekisteröinneissä mahdollisuuksien mukaan sekä tietomurtotiedotteiden seuraaminen ovat kaikki käytännöllisiä tapoja, jotka kannattaa omaksua.
Kongressin tutkimus Instructuren tietoturvaepäonnistumisista on askel kohti vastuullisuutta, mutta lainsäädännölliset lopputulokset vievät aikaa. Sillä välin oman henkilökohtaisen tietosuoja-asennon tarkistaminen on välittömin saatavilla oleva toimi. Canvas-tietomurto ja sen herättämät opiskelijoiden tietosuojahuolet eivät ole yksittäistapauksia: ne heijastavat systeemistä kaavaa siinä, miten henkilökohtainen data keskitetään, jää heikosti suojatuksi ja paljastuu mittakaavassa. Yhtäkään yksittäistä alustaa ei tulisi pitää luotettavana holvikaappina arkaluonteisille tiedoille, ja tämän viikon tapahtumat tekevät sen selvämmäksi kuin koskaan.
