Una richiesta di riscatto in aula

Il gruppo estorsivo noto come ShinyHunters ha trascorso l'ultimo anno costruendosi una reputazione per colpire le grandi organizzazioni dove fa più male: la fiducia dei loro clienti. La sua ultima campagna ha combinato due obiettivi molto diversi nello stesso ciclo di notizie. Il gruppo ha iniettato messaggi di richiesta di riscatto in circa 330 portali di accesso scolastici Canvas, l'ampio sistema di gestione dell'apprendimento sviluppato dall'azienda ed-tech Instructure. La perturbazione ha costretto Instructure a mettere la piattaforma offline per un'intera giornata, un periodo che coincideva con gli esami finali e i test Advanced Placement per molti studenti in tutto il paese.

Instructure ha poi dichiarato di aver "raggiunto un accordo" con gli aggressori, linguaggio che, in termini semplici, di solito significa che è stato pagato un riscatto. Già questo esito da solo sarebbe una storia degna di nota: una piattaforma educativa ampiamente utilizzata messa offline durante test ad alto rischio, e un'azienda che sceglie di negoziare con i criminali invece di assorbire le ripercussioni operative del mantenere una posizione ferma.

La rivendicazione dell'hack all'FBI da parte di ShinyHunters

Ciò che rende questo momento diverso è la seconda metà della storia. In conversazioni con i giornalisti, ShinyHunters ha affermato di aver anche violato l'FBI, inquadrando l'intrusione come qualcosa fatto per "proteggere la nostra attività". Il ragionamento del gruppo, così come descritto ai giornalisti, era che ottenere visibilità sui sistemi delle forze dell'ordine gli concede leva o un preavviso contro il tipo di indagini che in precedenza hanno portato all'arresto di attori dell'estorsione.

L'FBI ha dichiarato di stare indagando sulla rivendicazione e, come per la maggior parte delle dichiarazioni dei gruppi estorsivi, i dettagli meritano di essere esaminati con attenzione piuttosto che accettati automaticamente. Gruppi come ShinyHunters hanno una lunga storia di esagerare la portata del loro accesso per massimizzare la pressione sulle vittime e l'attenzione dei media. Tuttavia, la sola affermazione di un compromesso dell'FBI, unita a una perturbazione verificabile e in corso di una piattaforma scolastica, illustra come questi gruppi ora operino su due binari simultaneamente: estorcere le vittime aziendali per ottenere un pagamento, e prendere di mira pubblicamente le istituzioni per costruire una reputazione che renda più credibili le future richieste di riscatto.

Non è la prima volta che ShinyHunters usa la divulgazione come leva invece di restare in silenzio. Il gruppo in precedenza ha informato un fornitore di telecomunicazioni olandese della sua stessa violazione dei dati dei clienti che ha interessato milioni di account, un modello che dimostra che il gruppo considera la pubblicità stessa come parte del suo manuale di estorsione.

Perché l'incidente di Instructure è importante per la privacy

Tralasciando la rivendicazione sull'FBI, l'incidente di Canvas di per sé merita di essere compreso. I sistemi di gestione dell'apprendimento come Canvas conservano informazioni sensibili sui minori: nomi, voti, registri delle presenze e talvolta dettagli sanitari o relativi agli accomodamenti legati ai servizi per la disabilità. Quando una richiesta di riscatto appare direttamente su un portale di accesso, è progettata per essere vista dal più ampio pubblico possibile di studenti, genitori e personale, applicando pressione pubblica sul fornitore affinché paghi rapidamente.

Il fatto che Instructure abbia presumibilmente pagato non garantisce che i dati rubati siano stati cancellati o che non riemergeranno in seguito. I pagamenti di riscatto a gruppi come ShinyHunters storicamente non hanno impedito successive fughe di dati o prese di mira ripetute. Questo rispecchia ciò che è accaduto dopo altre violazioni di servizi di terze parti, come l'incidente che ha esposto dati di navigazione e acquisto legati alla violazione di aprile di un importante rivenditore, dove un singolo rapporto compromesso con un fornitore ha messo a rischio i dati dei clienti appartenenti a un marchio molto più grande.

Cosa significa questo per te

Se la tua scuola, il tuo datore di lavoro o un servizio che utilizzi funziona su Canvas o una piattaforma simile, non hai il controllo diretto su se quel fornitore venga violato. Ma puoi controllare quanta parte delle ripercussioni ti raggiunga personalmente. Tratta qualsiasi richiesta di accesso inaspettata, richiesta di reimpostazione della password o email di "avviso di sicurezza" legata a un portale scolastico o di lavoro con sospetto nelle settimane successive a notizie come questa. I gruppi estorsivi spesso fanno seguito a una violazione con campagne di phishing rivolte a persone le cui credenziali sono apparse nei dati rubati.

Se sei un genitore, uno studente o un educatore che usa Canvas, è ragionevole chiedere direttamente al tuo distretto scolastico se i dati degli studenti sono stati coinvolti e quali informazioni specifiche siano state interessate. Dichiarazioni vaghe come "raggiunto un accordo" non sono la stessa cosa della conferma che i dati personali siano stati o meno esposti.

Punti chiave

La rivendicazione dell'hack all'FBI da parte di ShinyHunters può o meno reggere all'esame, ma la volontà del gruppo di perturbare una piattaforma di test scolastica per forzare un pagamento è già confermata. I lettori dovrebbero cambiare qualsiasi password riutilizzata legata a portali scolastici o di lavoro, abilitare l'autenticazione a più fattori dove viene offerta, e restare vigili riguardo ai tentativi di phishing che fanno riferimento a calendari di esami o verifiche dell'account nelle prossime settimane. I gruppi estorsivi prosperano sull'urgenza e sulla confusione; qualche minuto speso a verificare un messaggio sospetto direttamente con la tua scuola o il tuo datore di lavoro è un piccolo prezzo per evitare la prossima fase dell'attacco.