ShinyHunters โจมตี Canvas: ข้อมูลนักเรียน 275 ล้านรายการตกอยู่ในความเสี่ยง

การละเมิดข้อมูลนักเรียนจากการโจมตีทางไซเบอร์บน Canvas ที่สร้างความปั่นป่วนให้กับเกือบ 9,000 สถาบันทั่วโลกกลับมาออนไลน์แล้ว แต่ภัยคุกคามยังไม่สิ้นสุด กลุ่มแฮกเกอร์ ShinyHunters อ้างความรับผิดชอบต่อการโจมตีแพลตฟอร์มการจัดการการเรียนรู้ที่ใช้งานอย่างแพร่หลายนี้ โดยระบุว่าพวกเขาเข้าถึงข้อมูลของบุคคลมากถึง 275 ล้านคน ทั้งนักเรียน ครู และเจ้าหน้าที่ฝ่ายบริหาร กลุ่มดังกล่าวขู่ว่าจะเผยแพร่ข้อมูลหากไม่มีการจ่ายค่าไถ่ ทำให้เหตุการณ์หยุดชะงักของบริการกลายเป็นวิกฤตความเป็นส่วนตัวระยะยาวสำหรับผู้คนหลายล้านคน

Canvas ซึ่งดำเนินงานโดย Instructure เป็นหนึ่งในระบบการจัดการการเรียนรู้ที่มีการใช้งานแพร่หลายที่สุดในโลก และขนาดของมันคือสิ่งที่ทำให้มันกลายเป็นเป้าหมาย

เหตุใดแพลตฟอร์มการศึกษาอย่าง Canvas จึงเป็นเป้าหมายหลักของการโจมตีด้วยแรนซัมแวร์

โรงเรียนและมหาวิทยาลัยอยู่ในตำแหน่งที่เสี่ยงต่อการโจมตีด้วยแรนซัมแวร์อย่างเป็นพิเศษ พวกเขาเก็บข้อมูลส่วนตัวที่ละเอียดอ่อนจำนวนมหาศาล ตั้งแต่บันทึกของผู้เยาว์และรายละเอียดความช่วยเหลือทางการเงิน ไปจนถึงข้อมูลการจ้างงานของเจ้าหน้าที่และข้อมูลประจำตัวของสถาบัน อย่างไรก็ตาม โดยทั่วไปแล้วพวกเขามีงบประมาณด้านความปลอดภัยที่ตึงตัวกว่าสถาบันการเงินหรือบริษัทขนาดใหญ่ และเครือข่ายของพวกเขาได้รับการออกแบบมาโดยเจตนาให้เปิดกว้างและเข้าถึงได้เพื่อสนับสนุนการเรียนรู้

ระบบการจัดการการเรียนรู้อย่าง Canvas นั้นน่าดึงดูดเป็นพิเศษเพราะอยู่ที่จุดตัดระหว่างอัตลักษณ์ การสื่อสาร และบันทึกต่าง ๆ การละเมิดข้อมูลไม่ได้เปิดเผยเพียงแค่ชื่อผู้ใช้และรหัสผ่าน แต่ยังอาจเปิดเผยการส่งงาน ข้อความส่วนตัว ประวัติเกรด ข้อมูลการลงทะเบียน และในบางกรณีอาจรวมถึงบันทึกทางการเงินหรือการรองรับสุขภาพที่เชื่อมโยงกับโปรไฟล์ของนักเรียน ความลึกของข้อมูลนี้คือสิ่งที่แยกการละเมิดแพลตฟอร์มการศึกษาออกจากการรั่วไหลของข้อมูลประจำตัวธรรมดา

ShinyHunters ไม่ใช่ผู้ก่อการรายใหม่ กลุ่มนี้เคยถูกเชื่อมโยงกับปฏิบัติการขโมยข้อมูลขนาดใหญ่ที่มุ่งเป้าไปที่แพลตฟอร์มผู้บริโภคมาก่อน การที่พวกเขาหันมาโจมตีโครงสร้างพื้นฐานทางการศึกษาแสดงให้เห็นถึงการยกระดับที่คำนวณมาอย่างดี โดยเล็งเป้าไปที่ภาคส่วนที่มีแรงกดดันสูงจากการหยุดชะงัก และช่วงเวลา ซึ่งอยู่กลางภาคการศึกษาและใกล้ช่วงสอบปลายภาคสำหรับหลายสถาบัน ยิ่งเพิ่มอำนาจต่อรองให้มากขึ้น

ข้อมูลที่ ShinyHunters อ้างว่าขโมยไปและสิ่งที่ตกอยู่ในความเสี่ยง

กลุ่มดังกล่าวอ้างว่าขโมยข้อมูลของบุคคล 275 ล้านคน ซึ่งหากเป็นความจริง จะทำให้นี่เป็นหนึ่งในการละเมิดข้อมูลในภาคการศึกษาที่ใหญ่ที่สุดในประวัติศาสตร์ ประเภทข้อมูลที่รายงานว่าถูกขโมย ได้แก่ ข้อความส่วนตัวที่แลกเปลี่ยนกันบนแพลตฟอร์ม บันทึกการลงทะเบียนและวิชาการ และข้อมูลที่สามารถระบุตัวตนได้ของทั้งนักเรียนและเจ้าหน้าที่

สำหรับผู้ใช้ที่ได้รับผลกระทบ ระดับความเสี่ยงนั้นซับซ้อนหลายชั้น ในระดับพื้นฐานที่สุด ที่อยู่อีเมลและรหัสผ่านที่ถูกเปิดเผยสามารถนำไปใช้ในการโจมตีแบบ credential stuffing บนแพลตฟอร์มอื่น ที่น่าเป็นห่วงมากกว่าคือการที่ประวัติการสื่อสารของสถาบันอาจถูกเปิดเผย ข้อความส่วนตัวระหว่างนักเรียนและอาจารย์ คำขอการรองรับพิเศษ และข้อโต้แย้งเรื่องเกรด ล้วนอาจถูกนำไปใช้เป็นอาวุธสำหรับการโจมตีแบบฟิชชิ่งแบบตรงเป้า การหลอกลวงทางสังคม หรือแม้แต่การขู่กรรโชกในระดับบุคคล

ผู้เยาว์เป็นความกังวลโดยเฉพาะ โรงเรียน K-12 หลายแห่งใช้ Canvas ซึ่งหมายความว่าบันทึกบางส่วนจากที่อ้างว่า 275 ล้านรายการอาจเป็นของเด็กอายุต่ำกว่า 13 ปี ซึ่งก่อให้เกิดพันธกรณีทางกฎหมายและการแจ้งเตือนเพิ่มเติมภายใต้กฎหมายเช่น COPPA ในสหรัฐอเมริกา

ขั้นตอนเร่งด่วนที่ผู้ใช้ Canvas ควรดำเนินการเพื่อปกป้องตนเอง

การที่แพลตฟอร์มกลับมาให้บริการได้ไม่ได้หมายความว่าความเสี่ยงผ่านพ้นไปแล้ว ข้อมูลที่ถูกขโมยออกไปแล้วยังคงอยู่ในมือของผู้โจมตีโดยไม่คำนึงถึงสถานะการออนไลน์ นี่คือสิ่งที่ผู้ใช้ควรดำเนินการตอนนี้

ประการแรก เปลี่ยนรหัสผ่าน Canvas ของคุณทันที และอย่านำรหัสผ่านใหม่ไปใช้ซ้ำกับบริการอื่น หากคุณใช้รหัสผ่านเดียวกันบนแพลตฟอร์มอื่น ให้เปลี่ยนบัญชีเหล่านั้นด้วย เปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัยบนทุกบัญชีที่รองรับ โดยให้ความสำคัญกับบัญชีอีเมลและแพลตฟอร์มใดก็ตามที่เชื่อมโยงกับตัวตนของนักเรียนหรือสถาบันของคุณ

ประการที่สอง ระวังความพยายามฟิชชิ่ง ผู้โจมตีที่ครอบครองข้อมูลสถาบันของคุณรู้ชื่อคุณ โรงเรียนของคุณ และอาจรู้ชื่ออาจารย์ของคุณด้วย อีเมลฟิชชิ่งที่ดูเหมือนมาจากมหาวิทยาลัยของคุณหรือจาก Canvas เองจะน่าเชื่อถืออย่างผิดปกติในช่วงสัปดาห์ข้างหน้า ควรมองด้วยความสงสัยต่อลิงก์ที่ไม่ได้ร้องขอ แม้ว่าผู้ส่งจะดูเหมือนเป็นคนที่รู้จักก็ตาม

ประการที่สาม พิจารณาว่ากิจกรรมของเบราว์เซอร์ของคุณอาจเปิดเผยข้อมูลมากเพียงใดหลังจากการละเมิดแบบนี้ เมื่อคุณเข้าสู่ระบบบัญชีที่ถูกบุกรุกจากอุปกรณ์ใหม่หรือตำแหน่งที่ผิดปกติ มีบางอย่างมากกว่าแค่รหัสผ่านที่อาจถูกติดตาม การทำความเข้าใจ browser fingerprinting มีความเกี่ยวข้องในที่นี้: แม้ไม่มีคุกกี้ เว็บไซต์และผู้ไม่หวังดีก็สามารถระบุตัวตนคุณได้ผ่านการรวมกันของสัญญาณเบราว์เซอร์และอุปกรณ์ที่ไม่ซ้ำกัน หากข้อมูลประจำตัวของคุณถูกเปิดเผย กิจกรรมการกู้คืนบนเครือข่ายที่ใช้ร่วมกันหรือเครือข่ายสถาบันอาจเผยให้เห็นพฤติกรรมและตัวตนของคุณมากกว่าที่คุณคาดคิด

บทเรียนที่กว้างขึ้น: การละเมิดข้อมูลของสถาบันและสุขอนามัยข้อมูลส่วนตัวของคุณ

การละเมิดข้อมูลนักเรียนจากการโจมตีทางไซเบอร์บน Canvas เตือนให้เราทราบว่าสุขอนามัยข้อมูลส่วนตัวไม่สามารถมอบหมายให้กับสถาบันที่เก็บข้อมูลของคุณได้ องค์กรทุกขนาดล้วนถูกละเมิดข้อมูล คำถามคือการละเมิดนั้นจะสร้างความเสียหายแก่คุณโดยเฉพาะมากน้อยเพียงใด และคำตอบนั้นขึ้นอยู่กับการตัดสินใจที่คุณทำก่อนที่เหตุการณ์จะเกิดขึ้นเกือบทั้งหมด

การใช้รหัสผ่านซ้ำยังคงเป็นช่องโหว่ที่ถูกใช้ประโยชน์ได้มากที่สุดในระดับบุคคล หากข้อมูลประจำตัว Canvas ของคุณตรงกับการเข้าสู่ระบบอีเมล แอปธนาคาร หรือบริการอื่น ๆ การเชื่อมโยงนั้นจะเปลี่ยนการละเมิดครั้งเดียวให้กลายเป็นหลายครั้ง ตัวจัดการรหัสผ่านช่วยขจัดปัญหานี้ได้เกือบทั้งหมด และต้องการความพยายามในการดูแลรักษาน้อยมากเมื่อตั้งค่าแล้ว

นอกเหนือจากข้อมูลประจำตัว ควรตรวจสอบว่าคุณจัดเก็บข้อมูลอะไรไว้โดยสมัครใจในแพลตฟอร์มที่คุณใช้เป็นประจำ ข้อความเก่า เอกสารที่มีข้อมูลส่วนตัว และรายละเอียดโปรไฟล์ที่ดูไม่เป็นอันตรายเมื่อกรอกไว้ สามารถรวมกันเป็นโปรไฟล์โดยละเอียดที่มีประโยชน์สำหรับการฉ้อโกงหรือการหลอกลวงทางสังคมหลายปีหลังจากนั้น

การละเมิดข้อมูลของสถาบันจะไม่หายไป ShinyHunters และกลุ่มที่คล้ายกันจะยังคงมุ่งเป้าไปที่คลังข้อมูลที่มีมูลค่าสูง และสถาบันการศึกษาจะยังคงอยู่ในรายชื่อนั้น การตอบสนองที่มีประสิทธิผลที่สุดคือการลดการเปิดรับข้อมูลส่วนบุคคลของคุณ เพื่อให้เมื่อการละเมิดครั้งต่อไปเกิดขึ้น ความเสี่ยงของคุณจะถูกจำกัดไว้

เริ่มต้นด้วยการตรวจสอบความปลอดภัยของบัญชีปัจจุบันของคุณบนแพลตฟอร์มที่คุณเชื่อมต่อผ่านข้อมูลประจำตัวของสถาบัน ตรวจสอบว่าอีเมลใดของคุณปรากฏในการละเมิดก่อนหน้านี้โดยใช้บริการแจ้งเตือนการละเมิดที่น่าเชื่อถือ และทบทวนว่ากิจกรรมออนไลน์ของคุณสามารถเปิดเผยข้อมูลเกี่ยวกับคุณได้มากเพียงใดนอกเหนือจากรหัสผ่านธรรมดา เพราะดังที่ browser fingerprinting แสดงให้เห็น การติดตามสมัยใหม่หมายความว่าตัวตนของคุณสามารถคงอยู่ได้แม้หลังจากที่คุณเปลี่ยนข้อมูลประจำตัวทุกอย่างที่คุณมี