A ShinyHunters egy héten belül kétszer törte fel a Canvast, a Kongresszus válaszokat követel
A Canvas adatszivárgással kapcsolatos diákadatvédelmi válság mostanra a Capitoliumig eszkalálódott. Andrew Garbarino, a Képviselőház Belbiztonsági Bizottságának elnöke hivatalosan tájékoztatót kért az Instructure-tól, a széles körben használt Canvas tanulásmenedzsment-rendszer mögött álló vállalattól, miután a hírhedt ShinyHunters hackercsoport nem egyszer, hanem kétszer törte fel a platformot egyetlen héten belül. Az incidens millió diákot, oktatót és intézményi dolgozót tett ki potenciális adatlopásnak, az Instructure pedig azóta megállapodást kötött a hackerekkel az ellopott adatok törlése érdekében – ez egy olyan megoldás, amely legalább annyi kérdést vet fel, mint amennyit megválaszol.
Amit a ShinyHunters-féle adatszivárgás feltárt a Canvas biztonságáról
A ShinyHunters csoport neve nem ismeretlen a kiberbiztonsági körökben. Ugyanez a kollektíva az elmúlt években néhány legnagyobb adatlopási művelethez köthető, amelyek felhőalapú tárolóplatformoktól kezdve fogyasztói alkalmazásokig mindenre kiterjedtek. Az, hogy a Canvast ugyanazon a héten kétszer is feltörték, valami sokkal aggasztóbbra utal, mint egy egyszeri opportunista támadás: arra enged következtetni, hogy az Instructure első incidensre adott biztonsági válasza túl lassú vagy elégtelen volt ahhoz, hogy bezárja azokat a sebezhetőségeket, amelyeket a csoport már azonosított és kihasznált.
Az adatszivárgásban érintett adatok között állítólag diákazonosítók, e-mail-címek, teljes nevek és a platformon küldött privát üzenetek szerepelnek. Jelentések szerint a hackerek több mint 275 millió rekord ellopását állítják. Az Instructure döntése, hogy tárgyalásokat folytatott a ShinyHuntersszel – állítólag az ellopott adatok törlésének biztosítása érdekében – szkepticizmust váltott ki mind a biztonsági kutatók, mind a törvényhozók körében. Nincs megbízható technikai mechanizmus annak ellenőrzésére, hogy az ellopott adatokat egy bűnözői csoporttal kötött megállapodás után valóban véglegesen törölték-e.
A kongresszusi felügyelet most közvetlenül érintett. Garbarino elnök hivatalos tájékoztatóra vonatkozó kérése szokatlan helyzetbe hozza az Instructure-t: biztonságiarchitektúráját és incidenskezelési eljárásait kell magyaráznia szövetségi törvényhozóknak – ez egy olyan kimenetel, amely valószínűleg meghatározza majd az oktatástechnológiai szolgáltatók jövőbeli szabályozását.
Miért vonzó célpontok a hackerek számára az oktatási platformok
Az iskolák és egyetemek következetesen a kiberbiztonsági incidensjelentésekben leggyakrabban támadott szektorok közé tartoznak. Az okok strukturálisak. Az oktatási intézmények jellemzően szűkös IT-költségvetéssel működnek, nagy és töredezett felhasználói bázist tartanak fenn, és minden korosztályú diák – köztük kiskorúak – gazdag személyazonosítóit tárolják. Egy olyan platform, mint a Canvas, ezt az adatot egyszerre összesíti ezernyi intézményből, így egyetlen sikeres adatszivárgás rendkívül értékes lesz a fenyegetési szereplők számára.
A ShinyHunters csoport és a hozzá hasonlók egy olyan adatgazdaságban működnek, ahol a tömeges rekordok valódi árakon kelnek el a dark web piacterein. A diákadatok különösen tartósak: egy személy neve, e-mail-címe és intézményi azonosítószáma nem változik gyakran, így az ellopott rekordok hosszabb „eltarthatósági idővel" bírnak, mint mondjuk a fizetési kártyaadatok, amelyeket gyorsan le lehet tiltani.
A tágabb kontextus is fontos itt. Ahogy a tömeges állami megfigyelés és a kereskedelmi célú adatvásárlás egyre nagyobb vizsgálat alá kerül, az a kérdés, hogy ki tárolja az érzékeny személyes adatokat és milyen feltételek mellett, élő szakpolitikai vitává vált. A centralizált platformokon tárolt oktatási adatok ennek a vitának részét képezik.
Milyen adatokat kockáztatnak a diákok és oktatók a Canvason
A Canvas nem egyszerű kommunikációs eszköz. Millió diák és oktató számára az akadémiai élet operatív gerincét jelenti. Feladatbeadásokat, értékelt dolgozatokat, diákok és oktatók közötti közvetlen üzeneteket, kurzusregisztrációs adatokat tárol, és sok esetben külső eszközökkel való integrációkat, amelyek további személyes adatrétegeket adnak hozzá.
Egy név, intézményi e-mail-cím és diákazonosítószám kombinációja elegendő célzott adathalász-támadások, social engineering kísérletek és bizonyos esetekben személyazonossági csalás végrehajtásához. A platformon lévő privát üzenetek érzékeny akadémiai megbeszéléseket, professzorokkal megosztott személyes körülményeket, vagy kedvezményekről és egészségügyi kérdésekről szóló kommunikációt tartalmazhatnak. Ez nem általános elérhetőségi adat: kontextuálisan gazdag személyes információ, amelyet konkrét és káros módon lehet fegyverként használni.
Az oktatók számára a kockázatok kiterjednek a szakmai hírnévre és az intézményi felelősségre. A Canvason tárolt oktatói kommunikációk, osztályzási nyilvántartások és tananyagok ki lehetnek téve vagy manipulálhatók. Az intézmények maguk potenciális értesítési kötelezettséggel szembesülnek az állami adatszivárgási törvények alapján, több állam ugyanis előírja az érintett személyek időszerű értesítését.
Ez az incidens egyben emlékeztető arra is, hogy a megfigyelést és adathozzáférést szabályozó jogszabályi keretek nem tartottak lépést azzal, milyen mélyen beágyazódott a személyes információ az oktatástechnológiai platformokba. Az olyan kongresszusi viták, mint a FISA 702. szakasza körüli, szemléltetik, mennyire nehéz a törvényhozóknak proaktívan kezelni az adatkitettséget, ami sokszor az egyénekre hagyja saját kockázatuk kezelését.
Adatvédelmi lépések diákoknak intézményi adatszivárgás után
Az intézményi biztonsági intézkedések végső soron kívül esnek egy diák irányításán. Amit az egyének megtehetnek, az az, hogy csökkentik egy esetleges adatszivárgás hatókörét.
Kezdje az alapokkal. Változtassa meg a Canvas-fiókjához és minden más fiókjához tartozó jelszavakat, ahol ugyanazokat a hitelesítő adatokat használja. Engedélyezze a kétfaktoros hitelesítést intézményi e-mail-fiókján és minden kapcsolódó fiókján. Legyen különösen éber az adatszivárgást követő hetekben érkező adathalász e-mailekkel szemben: a támadók, akik megszereznek e-mail-címeket és neveket, ezeket az adatokat gyakran meggyőző követő csaliként használják.
Figyelje e-mail-fiókjait szokatlan bejelentkezési tevékenység szempontjából, és fontolja meg hitelzárolás vagy csalásriasztás elhelyezését a nagy hitelintézményeknél, ha aggódik amiatt, hogy adatait személyazonossági csalásra használhatják fel. A 18 év alatti diákok esetében a szülőknek érdemes átnézni hiteljelentésüket, mivel a kiskorúakat pontosan azért célozzák meg, mert a nevükre nyitott hamis számlák évekig észrevétlenek maradhatnak.
Hosszabb távon a Canvas-adatszivárgás hasznos emlékeztető, hogy egyetlen intézmény vagy platform sem képes teljes mértékben megvédeni személyes adatait. Az érzékeny információk tárolásának diverzifikálása, lehetőség szerint álnevek vagy másodlagos e-mail-címek használata intézményi regisztrációkhoz, valamint az adatszivárgási közlemények nyomon követése mind olyan gyakorlati szokások, amelyeket érdemes kialakítani.
A Congresuus Instructure biztonsági hibáira vonatkozó vizsgálata lépés az elszámoltathatóság felé, de a jogalkotási eredmények időbe telnek. Addig is a személyes adatvédelmi helyzet áttekintése a legközvetlenebb elérhető intézkedés. A Canvas-adatszivárgás és az általa felvetett diákadatvédelmi aggályok nem elszigeteltek: egy szisztematikus mintát tükröznek abban, ahogyan a személyes adatokat koncentrálják, alul-védik és nagy léptékben teszik ki. Egyetlen platformot sem szabad megbízható széfként kezelni érzékeny információk számára, és az e heti események ezt minden eddiginél világosabbá teszik.
