ShinyHunters tvrdi da je ukrao 275 milijuna zapisa u proboju sustava tvrtke Instructure

ShinyHunters tvrdi da je ukrao 275 milijuna zapisa od edtech giganta Instructure

Tvrtka za obrazovne tehnologije Instructure potvrdila je povredu podataka nakon što je ozloglašena hakerska skupina ShinyHunters zaprijetila objavom podataka za koje tvrdi da ih je ukrala iz gotovo 9 000 obrazovnih ustanova. Skupina tvrdi da je pribavila zapise koji se odnose na 275 milijuna učenika, nastavnika i ostalih pojedinaca, što ovaj incident — ako se tvrdnje potvrde — čini jednim od najvećih proboja u obrazovnom sektoru ikad zabilježenih.

Instructure, najpoznatiji po svom naširoko korištenom sustavu za upravljanje učenjem Canvas, još nije javno potvrdio puni opseg onoga čemu je pristupljeno. Tvrtka je otkrila incident pod pritiskom iznude od strane ShinyHuntersa — skupine s dugom tradicijom krađe podataka u velikom opsegu i javnih prijetnji curenjem podataka osmišljenih kako bi se organizacije prisililo na plaćanje otkupnine.

Tko su ShinyHunters i zašto bi vas to trebalo zabrinuti

ShinyHunters nije nepoznato ime u krugovima kibernetičke sigurnosti. Skupina je povezana s desecima visokoprofilnih proboja tijekom proteklih nekoliko godina, ciljajući tvrtke iz sektora maloprodaje, financija, zdravstva i tehnologije. Njihov uobičajeni pristup podrazumijeva izvlačenje velike količine korisničkih podataka, a zatim prijetnju objavom na forumima na dark webu ako žrtvena organizacija ne plati.

Ono što ovaj konkretni incident čini značajnim jest golemi razmjer navodne krađe i osjetljivost zahvaćene populacije. Učenici, od kojih su mnogi maloljetnici, predstavljaju iznimno ranjivu skupinu. Obrazovni zapisi mogu sadržavati imena, adrese e-pošte, institucionalne identifikacijske oznake, a u nekim slučajevima i osjetljivije informacije vezane uz akademske ili administrativne sustave. Podaci ove vrste mogu se iskoristiti za phishing kampanje, prijevare identiteta i napade socijalnog inženjeringa koji se možda neće pojaviti ni mjesecima ni godinama nakon početnog proboja.

Uključenost gotovo 9 000 ustanova znači i da je izloženost geografski i organizacijski široko rasprostranjena — obuhvaća osnovne i srednje škole, fakultete, sveučilišta, a potencijalno i korporativne programe osposobljavanja koji koriste Canvas.

Što to znači za vas

Ako vi ili vaša djeca pohađate školu, fakultet ili sveučilište koje koristi Instructureovu platformu Canvas, vaši podaci možda su bili uključeni. U ovoj fazi vrijedi poduzeti nekoliko preventivnih koraka bez obzira na to jeste li primili službenu obavijest.

Prvo, budite oprezni na pokušaje phishinga. Napadači koji pribave adrese e-pošte iz probijenih baza podataka često šalju ciljane e-poruke osmišljene tako da izgledaju kao službene komunikacije škola, ureda za financijsku pomoć ili davatelja tehnoloških usluga. Svaka neočekivana e-poruka koja od vas traži da kliknete na vezu, potvrdite vjerodajnice ili ažurirate podatke o plaćanju treba se tretirati sa skepticizmom.

Drugo, razmislite o korištenju jedinstvenih, jakih lozinki za sve račune povezane s vašom obrazovnom ustanovom. Upravitelj lozinkama olakšava upravljanje višestrukim prijavama. Ako vaš školski račun dijeli lozinku s drugim uslugama, odmah promijenite te lozinke.

Treće, roditelji maloljetnih učenika trebaju biti posebno pažljivi. Podaci djece osobito su vrijedni prevarantima jer se često ne nadziru godinama, što kriminalcima daje dugačak prozor za njihovu zloupotrebu prije nego itko to primijeti.

Za IT administratore i sigurnosne timove u obrazovnim ustanovama ovaj proboj podsjetnik je na potrebu revizije pristupa vanjskih dobavljača. Organizacije koje se oslanjaju na platforme poput Canvasa često tim platformama dodjeljuju značajan pristup sustavima za upravljanje informacijama o studentima. Pregled toga koji se podaci dijele, kako se pohranjuju i kojim ugovornim sigurnosnim obvezama dobavljači podliježu nije opcionalni posao. To je neophodan upravljanje rizicima.

Širi problem sigurnosti u obrazovnom sektoru

Obrazovanje se dosljedno nalazi među najcilja njim sektorima u izvješćima o povredama podataka, a istovremeno spada u one s najmanje resursa kada su u pitanju proračuni i kadrovi za kibernetičku sigurnost. Škole i sveučilišta upravljaju ogromnim količinama osobnih podataka, a često rade s naslijeđenom infrastrukturom, ograničenim IT osobljem i strogim financijskim ograničenjima.

Proboj sustava Instructure ilustrira kumulativni rizik koji dolazi s centralizacijom podataka tisuća ustanova putem jedne platforme. Kada ta platforma postane meta, polumjer razaranja je ogroman. Proboj koji bi inače pogodio jednu ustanovu u izolaciji umjesto toga pogađa gotovo 9 000 njih istovremeno.

Ovo nije argument protiv edtech platformi u oblaku, koje pružaju stvarnu vrijednost. To je argument za postavljanje najviših sigurnosnih standarda za te platforme i za to da ustanove primjenjuju slojevitu sigurnost — uključujući primjenu višefaktorske autentifikacije, minimiziranje nepotrebnog dijeljenja podataka i održavanje jasnih planova za reagiranje na incidente.

Konkretni zaključci

• Pratite svoje račune. Pazite na neobičnu aktivnost prijave na svim računima povezanim s vašom školom ili sveučilištem.
• Ažurirajte lozinke. Promijenite vjerodajnice za Canvas račun i sve ostale usluge koje dijele istu lozinku.
• Omogućite višefaktorsku autentifikaciju na svojim obrazovnim računima ako je dostupna.
• Pazite na phishing. Budite oprezni s neželjenim e-porukama koje tvrde da dolaze od vaše ustanove ili izravno od tvrtke Instructure.
• Roditelji: provjerite digitalni trag svog djeteta. Razmislite o zamrzavanju kreditnog dosijea uz OIB maloljetnog djeteta ako ste u SAD-u, jer ukradeni studentski podaci mogu se zloupotrebljavati godinama.
• Ustanove: revidira jte pristup dobavljača. Pregledajte kojima podacima platforme edtech trećih strana mogu pristupiti i osigurajte da ugovori uključuju jasne zahtjeve u pogledu sigurnosti i obavještavanja o probojima.

Puni opseg povrede podataka tvrtke Instructure još uvijek se otkriva. Kako budu dostupni novi detalji, pogođeni pojedinci i ustanove trebaju slijediti službene smjernice tvrtke Instructure i ostati na oprezu. Za potpuno razumijevanje proboja ovih razmjera potrebno je vrijeme, no gore navedeni koraci mogu smanjiti vašu izloženost već danas.