Povreda podataka Instructure Canvas: S čime se studenti još uvijek suočavaju

Povreda podataka Instructure Canvas: S čime se studenti još uvijek suočavaju

Povreda podataka Instructure Canvas uzburkala je visokoškolske ustanove diljem zemlje, ali plaćanje otkupnine hakerskoj skupini ShinyHunters nije zatvorilo ovu priču. Pravni stručnjaci sada upozoravaju da plaćanje radi suzbijanja ukradenih podataka nije isto što i ispunjavanje temeljnih obveza koje škole, sveučilišta te studenti i nastavnici koje opslužuju još uvijek nose. Za milijune ljudi čiji su podaci prolazili kroz Canvas, ova priča je daleko od završetka.

Što je zapravo ukradeno i tko je pogođen

Prema izvještajima o incidentu, kompromitrani podaci uključuju imena, adrese e-pošte i studentske identifikacijske brojeve koji obuhvaćaju tisuće institucionalnih korisnika u desetinama zemalja. Povreda je zahvatila ono što izgleda kao kompromitacija pozadinske infrastrukture Canvasa, što znači da izloženost nije bila ograničena na jednu školu ili regiju. Budući da Canvas djeluje kao jedan od najkorištenijih sustava za upravljanje učenjem u Sjedinjenim Državama, broj potencijalno pogođenih pojedinaca je ogroman.

Osim osnovnih identifikatora, postoje naznake da su komunikacije unutar platforme Canvas možda također bile dostupne. Taj detalj je važan jer proširuje opseg izloženosti izvan jednostavnih kontaktnih podataka. Akademski zapisi, sadržaj kolegija i interne institucionalne poruke mogli bi biti dio onoga što je prikupljeno prije nego što je Instructure otkrio upad.

Povreda je pogodila korisnike na svim razinama obrazovanja, od preddiplomskih studenata do doktorskih istraživača, nastavnog osoblja i administrativnih djelatnika. Svaka osoba koja je u relevantnom razdoblju koristila Canvas na pogođenoj ustanovi trebala bi smatrati da su njezini osobni podaci potencijalno kompromitrani.

Zašto plaćanje otkupnine ne okončava vašu izloženost

Kad je Instructure postigao financijski dogovor sa skupinom ShinyHunters, neposredna prijetnja javnom objavom podataka bila je smanjena. No pravni analitičari brzo ističu da taj dogovor rješava samo jedan segment mnogo većeg problema. Kao što je detaljno opisano u članku Instructureovo plaćanje otkupnine skupini ShinyHunters, tvrtka je potvrdila financijski dogovor, ali potvrda da su podaci trajno izbrisani nije neovisno verificirana.

Ovo je ključna razlika. Plaćanje otkupnine kupuje šutnju, ne sigurnost. Ne postoji pouzdan mehanizam za provjeru je li akter prijetnje uništio ukradene podatke umjesto da je zadržao kopije, podijelio ih s drugim stranama ili prodao pristup podzemnim tržištima prije nego što je dogovor postignut. Skupina ShinyHunters ima dokumentiranu povijest velikih povreda i unovčavanja podataka, što znači da institucionalni i individualni rizik ne nestaje jednostavno zato što je potpisan sporazum.

Sa stajališta regulacije, plaćanje otkupnine također ne zadovoljava zakone o obavješćivanju o povredama. U Sjedinjenim Državama, zakoni poput FERPA-e, zakona o zaštiti podataka na razini pojedinih saveznih država i sektorski specifični propisi nameću neovisne obveze ustanovama koje čuvaju studentske podatke. Plaćanje hakeru ne predstavlja obavješćivanje regulatora.

Jaz u obavješćivanju: što škole i sveučilišta još uvijek moraju učiniti

Ovdje slika usklađenosti postaje komplicirana za tisuće ustanova koje koriste Canvas. Instructure je dobavljač, a ne voditelj obrade podataka za većinu studentskih zapisa. Pojedina sveučilišta, fakulteti i školski okruzi zadržavaju vlastite zakonske obveze obavješćivanja pogođenih pojedinaca i, u mnogim slučajevima, relevantnih regulatornih tijela.

Pravni stručnjaci koji analiziraju situaciju napomenuli su da institucionalni korisnici ne mogu se oslanjati na Instructureove akcije, uključujući plaćanje otkupnine, kao zamjenu za vlastite dužnosti obavješćivanja. Mnoge ustanove posluju prema državnim zakonima o obavješćivanju o povredama koji zahtijevaju objavu u određenim vremenskim okvirima nakon što je povreda potvrđena. Neki od tih rokova možda već odbrojavaju.

Za ustanove podložne FERPA-i, izloženost studentskih obrazovnih zapisa nosi posebne zahtjeve o tome kako i kada pogođeni studenti moraju biti obaviješteni. Institucije s doktorskim istraživanjima mogu imati dodatne obveze ako su podaci o istraživanjima ili informacije o projektima financiranim od federalne vlade bili dostupni putem komunikacija na Canvasu. Slojevito regulatorno okruženje znači da svaka ustanova treba vlastitu pravnu procjenu, a ne paušalno oslanjanje na Instructureove javne izjave.

Jaz u obavješćivanju posebno je izražen za studente i nastavnike koji još nisu primili nikakvu izravnu komunikaciju od svoje ustanove. Ako vas vaša škola nije kontaktirala, ta šutnja ne znači da vaši podaci nisu bili pogođeni.

Praktični koraci koje studenti i nastavnici mogu poduzeti odmah

Čekanje na institucijsko obavješćivanje nije potpuna strategija. Postoje konkretne akcije koje pojedinci mogu poduzeti sada kako bi smanjili kontinuiranu izloženost.

Prvo, pratite račune e-pošte povezane s Canvasom zbog pokušaja krađe identiteta (phishing). Ukradene adrese e-pošte i imena često se koriste za izradu uvjerljivih poruka ciljanog phishinga, koji se često lažno predstavlja kao sveučilišni IT odjeli ili uredi za financijsku pomoć. Prema svakom neočekivanom zahtjevu za vjerodajnicama ili osobnim podacima pristupajte s pojačanim oprezom.

Drugo, promijenite lozinke na svim računima koji su dijelili vjerodajnice s vašom Canvas prijavom. Ponovna upotreba lozinki ostaje jedan od najčešćih načina na koji jedna povreda kaskadno uzrokuje preuzimanje više računa. Ako ste istu lozinku koristili negdje drugdje, odmah ažurirajte te račune i omogućite višefaktorsku autentifikaciju gdje god je dostupna.

Treće, razmotrite postavljanje zamrzavanja kredita kod glavnih kreditnih biroa ako je vaš studentski identifikacijski broj bio među kompromitiranim podacima. Studentski ID-evi se ponekad mogu kombinirati s drugim podacima radi olakšavanja krađe identiteta, posebno u kontekstima koji uključuju račune studentskih zajmova ili financijsku pomoć.

Četvrto, zatražite kopiju plana obavješćivanja o povredi vaše škole ili izravno upitajte IT odjel ili ured matičara vaše ustanove koji su podaci bili pogođeni i koje korake poduzimaju. Imate pravo na te informacije, a vaš upit stvara dokumentacijski trag koji može biti relevantan ako uslijede pravni postupci.

Povreda podataka Instructure Canvas podsjetnik je da platforme za obrazovanje u velikom opsegu nose značajne privatnosne uloge za sve koji ih koriste. Plaćanje otkupnine možda je privremeno smanjilo jedan rizik, ali nije riješilo temeljnu izloženost za studente i nastavnike na pogođenim ustanovama. Informiranje o obvezama vaše ustanove i poduzimanje neovisnih zaštitnih mjera najučinkovitiji je put naprijed u ovom trenutku.