教室に届いた身代金要求

ShinyHuntersとして知られる恐喝グループは、過去1年にわたり、大規模組織の最も痛いところ——顧客の信頼——を狙い撃ちにする評判を築いてきた。その最新のキャンペーンは、全く異なる2つの標的を同じニュースサイクルに組み合わせた。同グループは、EdTech企業Instructureが開発した広く使われている学習管理システムであるCanvasの学校ログインポータル約330件に身代金メッセージを注入した。この妨害により、Instructureはプラットフォームを丸1日オフラインにせざるを得なくなり、その期間は全国の多くの学生にとって期末試験やAdvanced Placementテストと重なった。

Instructureはその後、攻撃者と「合意に達した」と述べており、この表現は平たく言えば通常、身代金が支払われたことを意味する。その結果だけでも注目に値する話だ。広く使われている教育プラットフォームが高リスクのテスト中にオフラインに追い込まれ、企業が毅然として運用上の影響を受け入れるのではなく、犯罪者と交渉する道を選んだのである。

ShinyHuntersのFBIハッキング主張

この瞬間を異例にしているのは、話の後半部分である。記者との会話の中で、ShinyHuntersはFBIにも侵入したと主張し、その侵入を「我々のビジネスを守るため」に行ったものだと位置づけた。記者たちに説明された同グループの論理は、法執行機関のシステムを可視化することで、過去に恐喝犯の逮捕につながった種類の捜査に対するレバレッジや早期警告を得られるというものだった。

FBIはこの主張を調査中だと述べており、ほとんどの恐喝グループの声明と同様に、その詳細は自動的に受け入れるのではなく精査に値する。ShinyHuntersのようなグループは、被害者への圧力とメディアの注目を最大化するために、自らのアクセス範囲を誇張してきた長い実績がある。それでも、FBIへの侵害という主張だけでも、実際に確認可能な学校プラットフォームへの妨害と組み合わさることで、こうしたグループが今や同時に2つの路線で活動していることを示している。すなわち、企業被害者を恐喝して支払いを引き出すことと、将来の身代金要求をより信用させる評判を築くために公的機関を公然と標的にすることである。

ShinyHuntersが沈黙を保つのではなく、情報公開をレバレッジとして利用したのはこれが初めてではない。同グループは以前、数百万のアカウントに影響を与えた顧客データ侵害について、オランダの通信事業者に自社の顧客データ侵害を伝えたことがあり、このパターンは同グループが宣伝そのものを恐喝の手口の一部として扱っていることを示している。

Instructure事件がプライバシーにとって重要な理由

FBIの主張はさておき、Canvasの事件それ自体は理解する価値がある。Canvasのような学習管理システムは、未成年者に関する機微な情報を保持している。氏名、成績、出席記録、そして場合によっては障害者サービスに関連する健康や配慮に関する詳細である。ログインポータルに直接身代金メッセージが表示されると、それは学生、保護者、教職員という可能な限り最大の観衆に見られるように設計されており、ベンダーに迅速な支払いを迫る世論の圧力をかける。

Instructureが報じられているように支払いを行ったとしても、盗まれたデータが削除されたことや、後で再び表面化しないことを保証するものではない。ShinyHuntersのようなグループへの身代金支払いは、歴史的にその後の漏洩や再標的化を防いでこなかった。これは、大手小売業者の4月の侵害に関連する閲覧および購入データを露出させた事件のように、他の第三者サービス侵害の後で起きたことと軌を一にしている。そこでは、1つの侵害されたベンダー関係が、はるかに大規模なブランドに属する顧客データを危険にさらした。

あなたにとって何を意味するか

あなたの学校、雇用主、または利用しているサービスがCanvasや同様のプラットフォームで運営されている場合、そのベンダーが侵害されるかどうかを直接管理することはできない。しかし、影響のどれだけが個人的にあなたに及ぶかは管理できる。このようなニュースの後数週間は、学校や職場のポータルに関連する予期しないログイン要求、パスワードリセット要求、または「セキュリティ警告」メールを疑ってかかるべきだ。恐喝グループは、侵害後に、盗まれたデータに資格情報が含まれていた人々を狙ったフィッシングキャンペーンを頻繁に続ける。

Canvasを利用する保護者、学生、または教育者であれば、学生データが影響を受けたかどうか、また具体的にどの情報が関係したのかを、学校区に直接尋ねるのは妥当である。「合意に達した」といった曖昧な表現は、個人データが露出したか、しなかったかの確認と同じではない。

要点

ShinyHuntersのFBIハッキング主張は精査に耐えるかもしれないし、耐えないかもしれないが、同グループが支払いを引き出すために学校のテストプラットフォームを妨害する用意があることはすでに確認されている。読者は、学校や職場のポータルに関連する再利用したパスワードを変更し、提供されている場合は多要素認証を有効にし、今後数週間に試験日程やアカウント確認に言及するフィッシングの試みに警戒すべきである。恐喝グループは緊急性と混乱を糧にする。疑わしいメッセージを学校や雇用主に直接確認するために数分費やすことは、攻撃の次の段階を避けるための小さな代償である。