ShinyHunters атакували Canvas: під загрозою 275 мільйонів записів студентів
Витік даних студентів внаслідок кібератаки на Canvas, що сколихнула майже 9 000 установ по всьому світу, знову в мережі, але загроза далека від завершення. Хакерська група ShinyHunters взяла на себе відповідальність за атаку на широко використовувану платформу управління навчанням, стверджуючи, що отримала доступ до записів до 275 мільйонів осіб, включно зі студентами, викладачами та адміністративним персоналом. Група погрожувала опублікувати дані, якщо не буде сплачений викуп, перетворивши перебій у роботі сервісу на довгострокову кризу конфіденційності для мільйонів людей.
Canvas, якою керує Instructure, є однією з найбільш поширених систем управління навчанням у світі. Саме її масштаб зробив її мішенню.
Чому освітні платформи на кшталт Canvas є першочерговими цілями для атак із вимогою викупу
Школи та університети займають особливо вразливе місце в економіці програм-вимагачів. Вони зберігають величезну кількість чутливих персональних даних — від записів неповнолітніх і деталей фінансової допомоги до інформації про працевлаштування персоналу та інституційних облікових даних. Проте вони, як правило, працюють із жорсткішими бюджетами на безпеку, ніж фінансові установи чи великі корпорації, а їхні мережі навмисно спроєктовані відкритими та доступними для підтримки навчання.
Системи управління навчанням на кшталт Canvas є особливо привабливими, оскільки перебувають на перетині ідентифікації, комунікації та записів. Злом не просто розкриває ім'я користувача та пароль. Він може виявити надіслані завдання, особисті повідомлення, історію оцінок, дані про зарахування, а в деяких випадках — фінансові записи або записи про медичні пристосування, пов'язані з профілями студентів. Саме така глибина інформації відрізняє злом освітньої платформи від простого витоку облікових даних.
ShinyHunters — не новий гравець. Раніше група була пов'язана з масштабними операціями з крадіжки даних, спрямованими проти споживчих платформ. Їхній перехід до освітньої інфраструктури свідчить про розраховану ескалацію — удар по секторах, де тиск через простій є високим, а вибір часу, в середині семестру та напередодні заліків для багатьох установ, максимізує важелі впливу.
Які дані ShinyHunters стверджує, що викрала, і що знаходиться під загрозою
Група стверджує, що викрала записи 275 мільйонів осіб — цифра, яка, якщо вона точна, зробила б це одним із найбільших зломів в освітньому секторі за всю історію. До категорій нібито викрадених даних належать приватні повідомлення, якими обмінювалися на платформі, записи про зарахування та успішність, а також персонально ідентифікована інформація про студентів і персонал.
Для постраждалих користувачів профіль ризику є багаторівневим. На найбільш базовому рівні викриті адреси електронної пошти та паролі можуть використовуватися в атаках із підбором облікових даних на інших платформах. Більш тривожним є потенційне розкриття історії інституційних комунікацій. Приватні повідомлення між студентами та професорами, запити про пристосування та суперечки щодо оцінок — усе це може бути використано як зброя для цільового фішингу, соціальної інженерії або навіть шантажу на індивідуальному рівні.
Неповнолітні є окремою проблемою. Багато установ K-12 використовують Canvas, тобто певна частка з заявлених 275 мільйонів записів може належати дітям віком до 13 років, що тягне за собою додаткові юридичні зобов'язання та зобов'язання з повідомлення згідно з такими законами, як COPPA у Сполучених Штатах.
Негайні кроки, які користувачі Canvas мають зробити для захисту себе
Відновлення роботи платформи не означає, що ризик минув. Дані, які вже були викрадені, залишаються в руках зловмисника незалежно від статусу доступності. Ось що користувачі повинні зробити зараз.
По-перше, негайно змініть свій пароль Canvas і не використовуйте новий пароль на жодному іншому сервісі. Якщо ви використовували той самий пароль на інших платформах, змініть їх теж. Увімкніть багатофакторну автентифікацію на кожному акаунті, що її підтримує, у першу чергу на акаунтах електронної пошти та будь-якій платформі, пов'язаній із вашою студентською або інституційною ідентичністю.
По-друге, стежте за спробами фішингу. Зловмисники, які мають ваші інституційні дані, знають ваше ім'я, ваш навчальний заклад і, можливо, імена ваших викладачів. Фішингові електронні листи, які, здається, надходять від вашого університету або самого Canvas, будуть надзвичайно переконливими в найближчі тижні. Ставтеся з підозрою до будь-якого небажаного посилання, навіть якщо відправник виглядає легітимно.
По-третє, подумайте, скільки ваша активність у браузері може розкрити після такого злому. Коли ви входите в зламаний акаунт із нового пристрою або незвичного місця, потенційно відстежується більше, ніж просто ваш пароль. Розуміння відбитку браузера тут є доречним: навіть без файлів cookie вебсайти та зловмисники можуть ідентифікувати вас через унікальну комбінацію сигналів браузера та пристрою. Якщо ваші облікові дані були розкриті, відновлювальна активність у спільних або інституційних мережах може розкрити більше про вашу поведінку та ідентичність, ніж ви очікуєте.
Більш широкий урок: інституційні зломи та ваша особиста гігієна даних
Витік даних студентів внаслідок кібератаки на Canvas є нагадуванням про те, що особисту гігієну даних не можна передати на аутсорсинг установам, які зберігають вашу інформацію. Організації будь-якого розміру зазнають зломів. Питання полягає в тому, яку шкоду злом може завдати особисто вам, і відповідь майже повністю залежить від рішень, які ви прийняли до того, як інцидент стався.
Повторне використання паролів залишається найбільш експлуатованою вразливістю на індивідуальному рівні. Якщо ваші облікові дані Canvas збігаються з логіном електронної пошти, банківським застосунком або будь-яким іншим сервісом, цей зв'язок перетворює один злом на багато. Менеджер паролів майже повністю усуває цю проблему і потребує мінімальних постійних зусиль після налаштування.
Окрім облікових даних, варто перевірити, яку інформацію ви добровільно зберегли на платформах, якими регулярно користуєтеся. Старі повідомлення, документи з персональною інформацією та деталі профілю, що здавалися нешкідливими на момент введення, можуть агрегуватися в детальний профіль, корисний для шахрайства або соціальної інженерії через роки після факту.
Інституційні зломи нікуди не зникнуть. ShinyHunters та подібні до них групи продовжуватимуть атакувати сховища даних із високою цінністю, а освітні установи залишатимуться в цьому списку. Найефективнішою відповіддю є зменшення вашого індивідуального впливу, щоб коли відбудеться наступний злом, ваш ризик був обмежений.
Почніть із перевірки поточного захисту ваших акаунтів на платформах, до яких ви підключаєтеся через інституційні облікові дані. Перевірте, чи з'являлися будь-які ваші адреси електронної пошти в попередніх зломах, використовуючи надійний сервіс сповіщень про зломи. І перегляньте, скільки ваша онлайн-активність може розкрити про вас поза простим паролем — адже, як демонструє відбиток браузера, сучасне відстеження означає, що ваша ідентичність може зберігатися навіть після того, як ви зміните кожен свій обліковий запис.
