Kršenje sigurnosti Canvasa: Instructure suočen s tužbama zbog 275 milijuna zapisa
Kriza privatnosti učenika uzrokovana kršenjem sigurnosti Canvasa premjestila se s tehničke hitnosti na pravnu. Instructure Inc., tvrtka iza sustava za upravljanje učenjem Canvas koji koristi gotovo 9 000 ustanova širom svijeta, sada se suočava s valom saveznih kolektivnih tužbi. Tužitelji tvrde da tvrtka nije adekvatno zaštitila osobne podatke više od 275 milijuna učenika i nastavnika, što ovaj incident čini jednim od najvećih kršenja sigurnosti u obrazovnom sektoru ikada zabilježenih.
Za milijune ljudi koji nisu imali izbora nego koristiti Canvas putem svoje škole ili sveučilišta, ova parnica postavlja pitanje koje nadilazi pravnu strategiju: ako institucije kojima ste vjerovali ne mogu zaštititi vaše podatke, što zapravo možete poduzeti?
Što je Instructure navodno pogriješio: Sigurnosni propusti koji stoje iza 275 milijuna izloženih zapisa
Tužbe se temelje na poznatoj, ali ozbiljnoj tvrdnji: da je Instructure znao, ili je trebao znati, da njegova platforma čuva iznimno veliku količinu osjetljivih osobnih podataka te da nije implementirao sigurnosne mjere razmjerne tom riziku.
Hakerska skupina ShinyHunters preuzela je odgovornost za napad, a kršenje je otkrilo imena, adrese e-pošte, matične brojeve učenika i privatne poruke koje pripadaju studentima i nastavnicima u tisućama ustanova. Prema objavama pogođenih sveučilišta, Instructure je potvrdio da je dio tih podataka bio eksfiltriran prije nego što je upad zaustavljen.
Tužitelji u kolektivnim tužbama tvrde da je platforma koja posluje u ovakvom opsegu i koja čuva ovu kategoriju podataka imala obvezu implementirati snažniju kontrolu pristupa, standarde enkripcije i otkrivanje anomalija. Usporedbe koje se povlače s prethodnim regulatornim postupcima protiv drugih davatelja EdTech usluga sugeriraju da pravna teorija ovdje nije nova. Sudovi i regulatori sve češće smatraju da skrb nad podacima učenika nosi pojačanu dužnost pažnje, posebno prema zakonima kao što su FERPA i zakoni o privatnosti na razini saveznih država.
Tko je pogođen i koji su podaci u opasnosti
Kršenje je zahvatilo korisnike u školama K-12 i ustanovama visokog obrazovanja u Sjedinjenim Državama i međunarodno. Na individualnoj razini, izloženi podaci uključuju informacije koje na površini izgledaju rutinski, ali su vrlo korisne zlonamjernim akterima. Imena u kombinaciji s institucionalnim adresama e-pošte i matičnim brojevima učenika upravo su kombinacija potrebna za izradu uvjerljivih phishing poruka ili neovlašteni pristup drugim školskim sustavima.
Privatne poruke potpuno su zasebna briga. Mnogi studenti i nastavnici koriste Canvas poruke za osjetljive akademske razgovore, uključujući rasprave o ocjenama, prilagodbama i osobnim okolnostima. Što ti podaci budu u rukama kriminalne skupine, stvara rizike koji daleko nadilaze neželjenu poštu ili credential stuffing.
Vrijeme incidenta, koji je pogodio mnoge ustanove usred ispitnih rokova, povećalo je štetu. Škole su se žurile obnoviti pristup dok su se studenti suočavali s poremećajima u nastavi, a nastavnici su izgubili pristup zapisima predanih radova i knjigama ocjena. Operativna šteta tekla je usporedno s privatnosnom štetom, a pogođeni korisnici u neposrednom su roku imali malo pravnih sredstava.
Kako kolektivne tužbe preoblikuju odgovornost u EdTech sektoru
Tužbe protiv Instructurea odražavaju širu promjenu u načinu na koji sudovi i odvjetnici tužitelja tretiraju EdTech tvrtke. Godinama je sektor obrazovnih tehnologija imao relativno ograničenu pravnu izloženost u usporedbi s, primjerice, zdravstvenim sektorom ili financijama. To se mijenja.
Kolektivne tužbe u slučajevima kršenja podataka postale su izvedivije jer sudovi sve češće utvrđuju da izlaganje osobnih podataka predstavlja konkretnu štetu, čak i bez dokumentiranog financijskog gubitka. Argument da tužitelji "još nisu pretrpjeli štetu" sve je slabiji jer su dokazi o sekundarnim štetama poput žrtava phishinga, krađe identiteta i emocionalne boli postali lakši za dokumentiranje i kvantificiranje.
Za davatelje EdTech usluga posebno, regulatorna paralela je poučna. Prethodne mjere izvršenja protiv tvrtki poput Googlea i razvojnih programera obrazovnih aplikacija prema COPPA-i i FERPA-i utvrdile su da podaci učenika nisu roba kojom se može lakomisleno upravljati. Odvjetnici tužitelja u slučajevima Instructurea vjerojatno se oslanjaju na taj presedan kako bi tvrdili da navodne sigurnosne propuste tvrtke nisu bile samo nemarnost, već su bile predvidive s obzirom na regulatorno okruženje u kojemu je djelovala.
Ako parnica rezultira značajnom nagodbom ili presudom, mogla bi postaviti novi standard za to kako "razumna sigurnost" izgleda za platforme koje upravljaju zapisima učenika u velikom opsegu.
Zašto studenti i nastavnici trebaju vlastitu zaštitu privatnosti izvan učionice
Neugodna stvarnost koju kršenje sigurnosti Canvasa naglašava jest da studenti i nastavnici gotovo nemaju utjecaja na to koje platforme njihove institucije usvajaju, a ipak snose posljedice kada te platforme zakažu. Odustajanje od Canvasa u školi koja ga zahtijeva nije realna opcija za većinu ljudi.
Ta asimetrija čini osobnu higijenu privatnosti važnijom, a ne manje važnom. Nekoliko praktičnih koraka može smisleno smanjiti vašu izloženost u posljedici ovakve povrede sigurnosti.
Prvo, smatrajte svoju institucionalnu adresu e-pošte kompromitiranom. Očekujte phishing pokušaje koji se referiraju na vašu školu, vaše kolegije ili vaš matični broj. Budite skeptični prema svakoj poruci koja traži da verificirate vjerodajnice ili kliknete na vezu, čak i ako se čini da dolazi iz legitimnog izvora.
Drugo, provjerite jesu li vaše vjerodajnice pojavile u poznatim bazama podataka o kršenjima. Ako ste lozinku za Canvas koristili negdje drugdje, odmah promijenite te lozinke i razmislite o korištenju namjenskog upravitelja lozinkama ubuduće.
Treće, razmotrite usluge praćenja identiteta koje vas upozoravaju na nove račune otvorene na vaše ime ili na pojavu vaših podataka na tržnicama dark weba. Podaci iz kršenja ovakvih razmjera imaju tendenciju cirkuliranja i ponovnog pojavljivanja kroz mjesece i godine, a ne samo u neposrednoj posljedici.
Naposljetku, VPN neće poništiti kršenje koje se već dogodilo, ali štiti vaš promet na institucionalnim i javnim mrežama gdje se odvija velik dio vašeg akademskog života. Enkripcijom vaše veze ograničavate što može biti presretnuto na mrežnoj razini, što je jedan sloj zaštite vrijedan održavanja bez obzira na to što bilo koja platforma čini ili ne čini s vašim pohranjenim podacima.
Što to znači za vas
Kolektivne tužbe protiv Instructurea pravni su proces koji će se odvijati kroz mjesece ili godine. Hoće li donijeti smislenu promjenu u načinu na koji EdTech tvrtke upravljaju sigurnošću, otvoreno je pitanje. Ono što je sada jasno jest da je 275 milijuna ljudi imalo podatke preuzete iz sustava koji su bili dužni koristiti, a institucije koje su taj sustup propisale sada upiru prstom u dobavljača dok se dobavljač suočava sa sudom.
Za detaljniji uvid u tehničke detalje napada grupe ShinyHunters i što je konkretno preuzeto, analiza kršenja Canvasa od strane ShinyHuntersa pokriva incident iz perspektive metodologije napadača. Razumijevanje kako je došlo do kršenja prvi je korak u razumijevanju kako smanjiti vlastitu izloženost sljedeći put kada platforma koju ste dužni koristiti postane meta.
Procijenite svoju osobnu higijenu podataka sada: rotirajte lozinke, pratite svoj identitet, budite skeptični prema neželjenim porukama koje se referiraju na vašu školu i istražite alate za privatnost prikladne za mreže i uređaje koje svakodnevno koristite. Institucionalna odgovornost je važna, ali odvija se na drukčijem vremenskom okviru od prijetnji koje su već u tijeku.
