Комітет Палати представників з питань внутрішньої безпеки розслідує витік даних студентів Canvas
Криза конфіденційності, пов'язана з витоком даних студентів Canvas, досягла Капітолійського пагорба. Комітет Палати представників з питань внутрішньої безпеки офіційно розпочав розслідування щодо компанії Instructure, яка стоїть за широко використовуваною системою управління навчанням Canvas, вимагаючи брифінгу щодо збоїв у системі безпеки, які дозволили кіберзлочинцям викрасти записи студентів і надсилати погрози вимагання тисячам навчальних закладів.
Це конгресове загострення є значним поворотом у ситуації з витоком, який уже сколихнув школи, зірвав підсумкові іспити та розкрив персональну інформацію десятків мільйонів студентів. Для батьків, студентів і педагогів повідомлення є зрозумілим: цей інцидент більше не є лише проблемою технологічної компанії, яку можна вирішити тихо.
Що вимагає розслідування Комітету Палати представників з питань внутрішньої безпеки від Instructure
Законодавці Комітету Палати представників з питань внутрішньої безпеки не чекають, поки Instructure добровільно надасть відповіді. Розслідування комітету зосереджене на конкретних збоях у системі безпеки, що уможливили витік, на тому, як компанія відреагувала після виявлення вторгнення, і на тому, які засоби захисту існують для даних студентів, що зберігаються на її платформі.
Участь конгресового комітету додає офіційного наглядового тиску, якого листи-повідомлення від компанії просто не можуть забезпечити. Instructure буде зобов'язана надати детальні відомості про свою архітектуру безпеки, хронологію реагування на інцидент і те, як оброблялися погрози вимагання. Конгресові розслідування такого роду також можуть призвести до законодавчих дій, зокрема до нових вимог щодо того, як постачальники освітніх технологій зберігають і захищають дані студентів.
Сам витік був приписаний хакерській групі ShinyHunters, яка взяла на себе відповідальність за крадіжку понад 275 мільйонів записів студентів, включаючи імена, електронні адреси, ідентифікаційні номери студентів і приватні повідомлення. Потім група агресивно ескалювала свою кампанію, вийшовши далеко за межі простої крадіжки даних.
Чому записи студентів є високоцінною ціллю для кіберзлочинців
Дані студентів можуть здаватися не такими прибутковими, як облікові дані фінансових рахунків, але вони надзвичайно цінні на злочинних ринках з кількох причин. Молоді люди, включаючи неповнолітніх, часто мають чисту кредитну історію та номери соціального страхування, які ніколи не використовувалися для фінансового шахрайства. Це робить їх привабливими цілями для крадіжки особистих даних, яка може залишатися непоміченою роками.
Окрім шахрайства з особистими даними, записи, що містять електронні адреси, студентські квитки та приватні повідомлення, можуть використовуватися у фішингових кампаніях, атаках на підбір облікових даних і схемах соціальної інженерії, спрямованих як на студентів, так і на їхні сім'ї. Погрози вимагання, як і ті, що були надіслані під час цього витоку, також мають психологічний вплив, коли жертвами є студенти, які стикаються з академічними дедлайнами.
ShinyHunters продемонстрували, наскільки агресивним може стати цей сценарій. Як повідомлялося раніше, група спотворила сторінки входу шкіл повідомленнями про викуп, перетворивши крадіжку даних на видиму, публічну кампанію залякування, покликану змусити установи платити.
Як постачальники освітніх технологій збирають і піддають ризику конфіденційні дані студентів
Canvas використовується майже 9 000 установами по всьому світу, а це означає, що витік у одного постачальника має мультиплікативний ефект, що є унікальним для майже будь-якого іншого сектору. Коли університет зберігає дані студентів локально, витік впливає лише на цей кампус. Коли хмарна система управління навчанням зламана, розкриття інформації одночасно охоплює тисячі шкіл.
Платформи освітніх технологій збирають широкий спектр даних у рамках звичайної роботи. Здані завдання, приватні повідомлення між студентами та викладачами, дані активності входу, показники академічної успішності та особиста інформація — все це обробляється через ці системи. Більша частина цього збору необхідна для функціонування платформ, але вона створює концентроване середовище даних, яке є привабливим для зловмисників.
Витік даних Canvas також показав, як один інцидент може мати каскадні наслідки. Другий інцидент несанкціонованого доступу 7 травня змусив університети, включаючи Університет Пенсільванії, скасувати іспити та обмежити доступ до платформи, що продемонструвало: початкові заяви про локалізацію загрози не завжди відображають повний масштаб вторгнення.
Що можуть зробити зараз батьки та студенти, які піклуються про конфіденційність
Конгресовий нагляд важливий, але інституційна відповідальність рухається повільно. Тим часом існують конкретні кроки, які студенти, батьки та педагоги можуть вжити, щоб зменшити свою вразливість.
Перевірте, чи постраждав ваш навчальний заклад. Зверніться безпосередньо до ІТ-відділу вашої школи і запитайте, які конкретні дані могли бути розкриті через Canvas. Не покладайтеся виключно на листи-повідомлення про витік, які можуть бути затримані або неповними.
Стежте за шахрайством з особистими даними, особливо щодо неповнолітніх. Якщо ім'я, електронна адреса та студентський квиток студента були розкриті, розгляньте можливість накладення заморозки кредиту від його імені. Для неповнолітніх це часто ігнорується, оскільки діти зазвичай не мають активних кредитних файлів, але саме тому їхні записи є цінними для шахраїв.
Змініть паролі та увімкніть багатофакторну автентифікацію. Будь-який обліковий запис, який використовував ту саму комбінацію електронної пошти та пароля, що й вхід до Canvas, слід негайно оновити. Увімкніть багатофакторну автентифікацію для облікових записів електронної пошти та будь-яких освітніх платформ.
Будьте уважні до спроб фішингу. Розкриті електронні адреси, найімовірніше, будуть використані в наступних фішингових кампаніях. Студенти та батьки повинні бути особливо обережні щодо електронних листів, які запитують облікові дані для входу, фінансову інформацію або термінові дії.
Використовуйте VPN у спільних або публічних мережах. Кампусні та публічні мережі Wi-Fi є частими векторами перехоплення облікових даних. Надійний VPN додає рівень шифрування, який захищає дані входу в мережах, які ви не контролюєте.
Розслідування Комітету Палати представників з питань внутрішньої безпеки є необхідним кроком до відповідальності, але для отримання результатів знадобиться час. Розуміння повного походження та масштабів цього витоку, включаючи те, як ShinyHunters спочатку отримали доступ до систем Instructure та обсяг викраденого, є важливим контекстом для кожного, хто оцінює власний ризик. Бути поінформованим, стежити за своїми даними та вживати базових захисних заходів зараз — це найефективніші відповідні дії, доступні поки розслідування тривае.
