ShinyHunters заявляет о краже 275 миллионов записей у гиганта в сфере образовательных технологий Instructure

Компания в сфере образовательных технологий Instructure подтвердила факт утечки данных после того, как печально известная хакерская группа ShinyHunters пригрозила опубликовать данные, которые, по её утверждению, были похищены почти из 9 000 учебных заведений. Группа заявляет, что получила записи, принадлежащие 275 миллионам студентов, преподавателей и других лиц, что делает этот инцидент одним из крупнейших утечек в секторе образования, если заявления подтвердятся.

Instructure, наиболее известная своей широко используемой системой управления обучением Canvas, пока публично не подтвердила полный масштаб того, к чему был получен доступ. Компания раскрыла информацию об инциденте под давлением вымогателей из ShinyHunters — группы с многолетней историей крупномасштабных краж данных и публичных угроз их утечки, направленных на принуждение организаций к выплате выкупа.

Кто такие ShinyHunters и почему это важно

ShinyHunters — не новое имя в мире кибербезопасности. Группа причастна к десяткам резонансных взломов за последние несколько лет, нацеленных на компании в секторах розничной торговли, финансов, здравоохранения и технологий. Их типичная тактика заключается в похищении больших объёмов пользовательских данных с последующей угрозой их публикации на форумах даркнета, если организация-жертва не заплатит.

Особую значимость этому инциденту придают колоссальный масштаб предполагаемой кражи и уязвимость пострадавших. Студенты, многие из которых являются несовершеннолетними, представляют собой особо незащищённую группу. Образовательные записи могут включать имена, адреса электронной почты, институциональные идентификаторы и в ряде случаев более конфиденциальные сведения, связанные с академическими или административными системами. Данные такого рода могут использоваться в фишинговых кампаниях, мошенничестве с персональными данными и атаках социальной инженерии, которые могут проявиться лишь спустя месяцы или годы после первоначальной утечки.

Вовлечённость почти 9 000 учреждений также означает, что утечка охватывает широкий географический и организационный диапазон: школы, колледжи, университеты и, возможно, корпоративные программы обучения, использующие Canvas.

Что это означает лично для вас

Если вы или ваши дети учатся в школе, колледже или университете, использующем платформу Canvas от Instructure, ваши данные могут быть скомпрометированы. На данном этапе стоит принять ряд превентивных мер вне зависимости от того, получили ли вы официальное уведомление.

Во-первых, будьте бдительны в отношении фишинговых атак. Злоумышленники, получившие адреса электронной почты из взломанных баз данных, нередко рассылают целевые письма, имитирующие официальные сообщения от школ, финансовых организаций или поставщиков технологий. К любому неожиданному письму с просьбой перейти по ссылке, подтвердить учётные данные или обновить платёжную информацию следует относиться с подозрением.

Во-вторых, используйте уникальные надёжные пароли для всех аккаунтов, связанных с вашим учебным заведением. Менеджер паролей упрощает управление множеством учётных записей. Если пароль от вашего школьного аккаунта используется и на других сервисах, смените его немедленно.

В-третьих, родители несовершеннолетних должны проявлять особую бдительность. Данные детей особенно ценны для мошенников, поскольку за ними часто не следят годами, что даёт преступникам длительное окно для злоупотреблений, прежде чем это будет замечено.

ИТ-администраторам и командам безопасности образовательных учреждений этот взлом напоминает о необходимости проверки доступа сторонних поставщиков. Организации, использующие платформы вроде Canvas, нередко предоставляют им широкий доступ к информационным системам. Проверка того, какие данные передаются, как они хранятся и каким договорным обязательствам в области безопасности должны следовать поставщики, — это не дополнительная работа. Это необходимое управление рисками.

Системная проблема безопасности в секторе образования

Сектор образования неизменно входит в число наиболее уязвимых для утечек данных, однако при этом, как правило, располагает наименьшими ресурсами в части бюджетов и персонала для обеспечения кибербезопасности. Школы и университеты управляют огромными массивами персональных данных, зачастую работая на устаревшей инфраструктуре, с ограниченным штатом ИТ-специалистов и в условиях жёстких финансовых ограничений.

Взлом Instructure наглядно демонстрирует нарастающий риск, возникающий при централизации данных тысяч учреждений на единой платформе. Когда эта платформа становится целью атаки, масштаб ущерба колоссален. Взлом, который в изолированном случае затронул бы одно учреждение, одновременно бьёт почти по 9 000.

Это не аргумент против облачных образовательных платформ, которые приносят реальную пользу. Это аргумент в пользу применения к таким платформам самых высоких стандартов безопасности и в пользу многоуровневой защиты со стороны учреждений: обязательная многофакторная аутентификация, минимизация избыточного обмена данными и наличие чётких планов реагирования на инциденты.

Практические рекомендации

  • Следите за своими аккаунтами. Отслеживайте подозрительную активность при входе в любые аккаунты, связанные с вашей школой или университетом.
  • Обновите пароли. Смените учётные данные для аккаунта Canvas и всех других сервисов, использующих тот же пароль.
  • Включите многофакторную аутентификацию в своих образовательных аккаунтах, если такая возможность доступна.
  • Остерегайтесь фишинга. С осторожностью относитесь к нежелательным письмам, отправители которых представляются вашим учебным заведением или непосредственно компанией Instructure.
  • Родители: проверьте цифровой след вашего ребёнка. Рассмотрите возможность заморозки кредитной истории на номер социального страхования несовершеннолетнего ребёнка, если вы находитесь в США, поскольку похищенные данные учащихся могут использоваться в мошеннических целях на протяжении многих лет.
  • Учреждениям: проведите аудит доступа поставщиков. Проверьте, к каким данным имеют доступ сторонние образовательные платформы, и убедитесь, что контракты включают чёткие требования к безопасности и уведомлению об инцидентах.

Полный масштаб утечки данных Instructure ещё выясняется. По мере появления новых подробностей пострадавшие пользователи и учреждения должны следовать официальным рекомендациям Instructure и сохранять бдительность. Утечки такого масштаба требуют времени для полного понимания, однако описанные выше меры помогут снизить вашу уязвимость уже сегодня.