Povreda Canvas LMS-a pogodila više od 72.000 osoba u Hong Kongu u sedam institucija

Povreda podataka Canvas LMS-a: Povjerenik za privatnost Hong Konga daje svoje mišljenje

Posljedice povrede privatnosti podataka Canvas LMS-a nastavljaju se širiti. Povjerenik za privatnost Hong Konga potvrdio je da je sedam lokalnih institucija bilo zahvaćeno globalnim kompromitiranjem Instructureovog sustava za upravljanje učenjem Canvas, pri čemu su osobni podaci više od 72.000 pojedinaca sada u rukama neovlaštenih strana. Iako je povjerenik napomenuo da trenutno nema dokaza o izravnim financijskim gubicima među pogođenima, dužnosnici su pažljivo naglasili da odsutnost neposredne štete ne znači da je rizik prošao.

Povreda, pripisana prijetnji koja je pristupila Instructureovim pozadinskim sustavima, izložila je niz osobnih podataka uključujući imena, adrese e-pošte i matične brojeve studenata. Za desetke tisuća studenata i zaposlenika pogođenih institucija u Hong Kongu, ta kombinacija identifikatora stvara dugotrajnu mogućnost zlouporabe, daleko izvan vijestima praćenog ciklusa.

Koje su institucije u Hong Kongu bile pogođene i koji su podaci izloženi

Sedam institucija u Hong Kongu prijavilo je utjecaj povrede, iako dužnosnici nisu javno imenovali sve od njih. Izloženi podaci pokrivaju širok presjek akademske zajednice: studente, nastavno osoblje i administrativno osoblje. Osobni podaci koji su uključeni, uključujući imena, institucionalne adrese e-pošte i identifikacijske brojeve, upravo su vrsta podataka koja podupire phishing kampanje, punjenje vjerodajnicama i napade socijalnog inženjeringa.

Ono što je posebno zabrinjavajuće za pogođene pojedince jest priroda sustava za upravljanje učenjem. Canvas ne čuva samo vjerodajnice računa već i interne poruke, zapise o aktivnostima u kolegijima te, u nekim konfiguracijama, učitane dokumente. Opseg podataka dostupnih kroz jedan kompromitat pozadinskog sustava znači da pojedinci možda ne razumiju u potpunosti razmjere onoga što je ukradeno.

Zašto plaćanje otkupnine izaziva zabrinutost za buduće žrtve povreda

Povjerenik za privatnost Hong Konga javno je kritizirao Instructureovu odluku da plati otkupninu napadačima. Ta kritika zaslužuje ozbiljnu pažnju. Kada organizacije plaćaju otkupnine, ne dobivaju provjerljivo jamstvo da su ukradeni podaci izbrisani ili da neće biti prodani ili redistribuirani. Plaćanje otkupnine u stvarnosti nagrađuje model napada, potiče ponavljanje incidenata i ohrabruje druge prijetnje da ciljaju slično vrijedna repozitorija osobnih podataka.

Obrazac nije jedinstven za ovaj slučaj. Operacije iznude velikih razmjera usmjerene na platforme bogate podacima postale su ponavljajuća značajka krajolika povreda. Tvrdnja grupe ShinyHunters o krađi 21 milijun zapisa od nizozemskog telekoma Odido ilustrira kako profesionalne bande za iznudu djeluju u velikom opsegu, često ciljajući organizacije koje drže guste zbirke osobnih podataka i imaju financijski poticaj da drže povrede u tajnosti. U oba slučaja, pogođeni pojedinci ostaju bez ikakve sigurnosti o tome gdje su njihovi podaci završili nakon transakcije otkupnine.

Za više od 72.000 osoba pogođenih povrdom Canvas-a u Hong Kongu, plaćanje otkupnine ne nudi nikakvu stvarnu zaštitu. Njihovi podaci već su bili kopirani prije nego što su pregovori uopće počeli.

Kako nešifrirani institucionalni podaci pojačavaju štetu od povrede

Jedan strukturalni problem koji dosljedno pojačava štetu od povreda koje uključuju akademske i javne institucije jest pohrana osobnih podataka u nešifriranim ili minimalno zaštićenim formatima. Sustavi za upravljanje učenjem akumuliraju ogromne količine korisničkih podataka, često bez iste sigurnosne arhitekture koja se primjenjuje na financijske ili zdravstvene platforme, iako su podaci usporedivo osjetljivi.

Kada se osobni podaci pohranjuju u obliku otvorenog teksta ili sa slabom enkripcijom, jedan neovlašteni pristup izlaže sve u čitljivom, odmah upotrebljivom obliku. Između napadača i podataka žrtve nema dodatne prepreke. Regulatorni okviri u mnogim jurisdikcijama, uključujući Uredbu o osobnim podacima (privatnosti) Hong Konga, zahtijevaju od organizacija da poduzmu razumne mjere za zaštitu podataka, ali provedba nakon činjenice nudi malo utjehe onima koji su već izloženi.

Akademske institucije i njihovi tehnološki dobavljači povijesno su zaostajali za ostalim sektorima u provedbi robusnih praksi minimizacije podataka i enkripcije. Povreda Canvas-a podsjetnik je visokog profila na stvarni trošak tog jaza.

Što to znači za vas

Ako ste student, nastavnik ili zaposlenik jedne od pogođenih institucija u Hong Kongu, ili u bilo kojoj instituciji diljem svijeta koja koristi Canvas, sada je vrijeme za djelovanje, a ne čekanje potvrde određene štete.

Evo konkretnih koraka koje treba poduzeti:

• Odmah promijenite svoju institucionalnu lozinku i nemojte je ponovo koristiti na drugim platformama. Ako ste istu lozinku koristili negdje drugdje, ažurirajte i te račune.
• Omogućite višefaktorsku autentifikaciju na svom institucionalnom računu i na svim osobnim računima koji dijele istu adresu e-pošte.
• Pratite svoju adresu e-pošte radi neobičnih aktivnosti. Izložene institucionalne e-pošte uobičajeno se koriste u ciljanim phishing kampanjama koje oponašaju vaše sveučilište ili poslodavca.
• Pregledajte koje ste osobne podatke predali putem Canvas-a, uključujući poruke, učitane datoteke i podatke profila. Razumijevanje vaše izloženosti pomaže vam točnije procijeniti rizik.
• Razmotrite uslugu praćenja identiteta koja vas upozorava ako se vaši osobni podaci pojave u novim ispustima podataka ili na neovlaštenim platformama. To je posebno relevantno kada povreda uključuje kombinacije imena, e-pošte i ID brojeva.
• Budite skeptični prema neželjenim kontaktima od bilo koga tko tvrdi da predstavlja vašu instituciju u tjednima koji slijede nakon povrede. Napadi socijalnog inženjeringa često slijede nakon krađe vjerodajnica velikih razmjera.

Izjava Povjerenika za privatnost Hong Konga da nisu prijavljeni nikakvi neposredni financijski gubici kratkoročno je umirujuća. Međutim, podaci ukradeni u ovakvim povredama ne zastarijevaju. Imena, e-pošte i institucionalni identifikatori ostaju vrijedni prevarantima, phishing operaterima i posrednicima vjerodajnica mjesecima ili godinama. Najvažnija radnja koju pogođeni pojedinci mogu poduzeti sada jest tretirati ovo kao trajan rizik, a ne kao riješeni incident, te poduzeti korake za smanjenje svoje izloženosti prije nego što se problemi materijaliziraju.