Второй взлом Canvas нарушил проведение экзаменов в Пенсильванском университете и других учебных заведениях
Второй инцидент несанкционированного доступа к платформе Canvas компании Instructure, произошедший 7 мая, потряс сферу высшего образования: университеты, включая Пенсильванский, были вынуждены отменить экзамены, ограничить доступ к платформе и в спешке разрабатывать резервные планы. Утечка данных Canvas, затронувшая школы и колледжи, свидетельствует об опасной эскалации атак на централизованные образовательные технологии, ставя под угрозу конфиденциальные академические и личные данные миллионов студентов.
Что произошло в ходе второго взлома Instructure
7 мая компания Instructure подтвердила второй инцидент несанкционированного доступа к своей системе управления обучением Canvas. Несмотря на то что полные технические подробности по-прежнему ограничены, взлом произошёл вскоре после предыдущего инцидента, что позволяет предположить: либо исходная уязвимость не была полностью устранена, либо злоумышленники нашли новый путь в инфраструктуру платформы.
Instructure заявила, что проблема в конечном счёте была решена и Canvas вернулась к полноценной работе — на момент раскрытия информации признаков продолжающегося несанкционированного доступа обнаружено не было. Однако это заверение мало успокоило тысячи учебных заведений, зависящих от Canvas в части организации учебного процесса, проведения оценивания и хранения конфиденциальных записей студентов.
Этот второй инцидент является частью более широкой закономерности атак на Instructure. Как описано в материале Взлом ShinyHunters затронул Instructure Canvas: данные студентов скомпрометированы, печально известная хакерская группировка ShinyHunters ранее подтвердила взлом, затронувший миллионы студентов и преподавателей по всему миру. Инцидент 7 мая усугубляет последствия той первоначальной компрометации, порождая вопросы о том, были ли за прошедшее время приняты надлежащие меры по улучшению безопасности.
Какие учебные заведения пострадали и каким образом
Пенсильванский университет оказался в числе наиболее пострадавших учреждений: были отменены запланированные экзамены, а доступ преподавателей и студентов к Canvas временно ограничен. Время взлома оказалось особенно разрушительным, поскольку он произошёл в период, когда многие колледжи и университеты находились в разгаре сессии — когда студенты наиболее активно используют платформу для сдачи заданий, доступа к учебным материалам и прохождения онлайн-тестирований.
Помимо Пенсильванского университета, сообщалось о том, что инцидент затронул системы Калифорнийского университета и Калифорнийского государственного университета, а также учебные заведения Вирджинии и других штатов. Международный масштаб взлома, охватившего университеты по всему миру, подчёркивает, насколько глубоко Canvas укоренилась в академической инфраструктуре на глобальном уровне.
Для студентов практические последствия вышли за рамки пропущенного дедлайна. Отмена экзаменов породила хаос в расписании для выпускников и тех, кто был связан жёсткими академическими сроками. Преподаватели столкнулись с необходимостью экстренно налаживать связь со студентами через резервные каналы, а администраторы были вынуждены оперативно принимать решения о том, можно ли доверять платформе в условиях продолжающегося расследования.
Почему централизованные платформы для образования представляют угрозу конфиденциальности
Повторяющиеся атаки на Instructure указывают на структурную проблему в современных образовательных технологиях: концентрацию конфиденциальных данных тысяч учреждений в инфраструктуре единственного поставщика. Canvas обслуживает около 9 000 и более образовательных учреждений по всему миру. Такой масштаб делает платформу чрезвычайно привлекательной целью для киберпреступников: один успешный взлом способен одновременно дать доступ к академическим записям, персональным данным и потенциально финансовой информации миллионов людей.
Это классическое определение единой точки отказа. Когда школьная система управляет собственной локальной инфраструктурой, взлом наносит ущерб, но остаётся локализованным. Когда тысячи школ передают свои данные одной платформе, радиус поражения любой атаки становится колоссальным. Группировка ShinyHunters осознала это, когда, по имеющимся сведениям, заявила о доступе к почти 275 миллионам записей в ходе связанного инцидента с Instructure, подробно описанного в материале ShinyHunters заявляет о 275 млн записей в результате взлома Instructure.
Регуляторные рамки, такие как FERPA в США, обязывают образовательные учреждения защищать записи студентов, однако обязательства и механизмы их исполнения существенно усложняются, когда данные хранятся у стороннего поставщика. Школы могут нести риск ответственности, даже не являясь непосредственными целями атаки.
Как студенты и сотрудники могут защитить конфиденциальные академические данные
Хотя решения в области институциональной безопасности принимаются администраторами и ИТ-отделами, существуют конкретные шаги, которые студенты и сотрудники могут предпринять, чтобы снизить личные риски.
Используйте надёжные уникальные пароли. Если вы применяете один и тот же пароль на нескольких платформах, а учётные данные Canvas оказались скомпрометированы, злоумышленники могут предпринять атаки с подстановкой учётных данных на вашу электронную почту, банковские или другие аккаунты. Используйте менеджер паролей для создания и хранения уникальных учётных данных для каждого сервиса.
Включите многофакторную аутентификацию везде, где это возможно. Canvas и большинство институциональных систем единого входа (SSO) поддерживают MFA. Её активация означает, что одного украденного пароля недостаточно для получения доступа к вашему аккаунту.
Будьте бдительны в отношении фишинговых атак. После крупной утечки данных злоумышленники нередко рассылают фишинговые письма, маскируясь под пострадавшую платформу или само учебное заведение. С недоверием относитесь к любым нежелательным письмам с просьбой сбросить учётные данные или подтвердить сведения об аккаунте. Переходите непосредственно на официальный URL учреждения, не кликая по ссылкам в письмах.
Следите за своими академическими и личными записями. Если ваше учреждение подтвердило, что ваши данные оказались затронуты утечкой, рассмотрите возможность установки заморозки кредитной истории и мониторинга на предмет признаков неправомерного использования персональных данных. Академические записи и студенческие удостоверения могут использоваться в целенаправленных атаках с применением социальной инженерии.
Запросите у своего учреждения конкретную информацию. В соответствии с FERPA школы обязаны уведомлять студентов об утечках, затронувших их записи. Не ждите пассивно — обратитесь в регистратуру или ИТ-отдел и напрямую узнайте, какие данные оказались затронуты и какие защитные меры принимаются в вашу пользу.
Что это означает для вас
Второй взлом данных Canvas, затронувший школы и колледжи, напоминает о том, что удобство и централизация сопряжены с определёнными издержками. Миллионы студентов доверяли своим академическим учреждениям и поставщикам, на которых те полагаются, защиту своей личной информации. Это доверие было подвергнуто испытанию дважды за короткий период.
Для студентов и преподавателей практическим приоритетом прямо сейчас является защита личных аккаунтов и бдительность в отношении последующих атак. Для учреждений взлом должен стать поводом для серьёзного пересмотра требований к безопасности поставщиков, практик минимизации данных и планов действий на случай, если сторонние платформы выйдут из строя или будут скомпрометированы.
Чтобы получить полное представление о масштабе атак, связанных с Instructure, и задействованных в них злоумышленниках, ознакомьтесь с подробным материалом о взломе ShinyHunters, ссылки на который приведены выше. Понимание происхождения и методов этих инцидентов — первый шаг к тому, чтобы добиваться более надёжной защиты от платформ, которые вы и ваше учреждение используете каждый день.
