Утечка данных Canvas Сделка с хакерами заключена

Обзор инцидента

Canvas, ведущая система управления обучением (LMS), используемая миллионами студентов и преподавателей по всему миру, оказалась в центре крупного инцидента в области кибербезопасности. Согласно заявлению ее материнской компании Instructure, неизвестные хакеры проникли в системы платформы и похитили значительный объем пользовательских данных. Ситуацию усугубило объявление Instructure о том, что компания достигла соглашения с злоумышленниками с целью предотвращения публикации или продажи украденных данных в интернете. Компания заявила, что в обмен на сделку получила от хакеров заверения в том, что данные были безвозвратно удалены. Это решение вызвало бурные дебаты в сообществе кибербезопасности и среди пользователей относительно его этических и практических последствий.

Объем и характер утекших данных

Хотя Instructure воздержалась от предоставления точных цифр о масштабе утечки и количестве затронутых пользователей, характер потенциально скомпрометированных данных вызывает тревогу. Как образовательная платформа, Canvas хранит крайне конфиденциальную информацию о своих пользователях. Типы данных, которые могли быть скомпрометированы, включают:

• Персональные данные (PII): Основные идентификационные данные студентов и преподавателей, такие как полные имена, адреса электронной почты, номера студенческих билетов и даты рождения.
• Академические записи: Оценки, информация о зачислении на курсы, сданные задания, результаты экзаменов и переписка на форумах курсов.
• Контактная информация: Номера телефонов и физические адреса, которые могли быть добавлены в систему учебным заведением.
• Учетные данные для входа: Имена пользователей и, скорее всего, хэшированные пароли. Хотя хэширование обеспечивает уровень безопасности, слабые пароли все еще могут быть взломаны с помощью атак методом перебора (brute-force).

Совокупность этих данных представляет собой ценный ресурс для кражи личных данных, целевых фишинговых атак и других видов мошенничества. В частности, раскрытие академических записей представляет серьезную угрозу конфиденциальности студентов.

Технический аспект атаки

Компания еще не предоставила технических подробностей о том, как злоумышленники проникли в ее системы. Такая информация часто остается конфиденциальной в ходе текущих расследований. Однако распространенные векторы атак, наблюдаемые при взломах аналогичных крупных платформ, включают:

• Эксплуатация уязвимости: Использование ранее неизвестной (уязвимость нулевого дня) или известной, но неисправленной уязвимости в программном обеспечении платформы или серверной инфраструктуре.
• Фишинг: Изощренная фишинговая атака, нацеленная на сотрудника компании с привилегированным доступом. Кража учетных данных этого сотрудника могла предоставить злоумышленникам первоначальную точку входа в сеть.
• Неправильно настроенное облачное хранилище: Некорректно настроенные права доступа к облачным хранилищам, таким как Amazon S3, где хранятся данные клиентов, могли сделать данные общедоступными или легкодоступными для злоумышленников.
• Риск интеграции со сторонними сервисами: Компрометация стороннего поставщика услуг, интегрированного с Canvas, могла быть использована злоумышленниками как отправная точка для проникновения в сеть Canvas.

Хотя Instructure заявила, что работает с фирмами по кибербезопасности и правоохранительными органами, ее решение вести переговоры с хакерами может быть истолковано как признак того, что они с трудом контролировали ситуацию.

Кто из пользователей пострадал?

Canvas обслуживает широкий спектр учебных заведений по всему миру, от школ K-12 до самых престижных университетов мира. Следовательно, потенциальная аудитория, затронутая этой утечкой, огромна:

• Студенты: Личные и академические данные миллионов студентов всех возрастов находятся под угрозой.
• Преподаватели: Контактная информация и учебные материалы, загруженные учителями, профессорами и инструкторами, могли быть раскрыты.
• Администраторы учебных заведений: Информация персонала с административным доступом к системе и данные учреждения могли быть скомпрометированы.

Утечка напрямую затрагивает не только отдельных пользователей, но и репутацию и безопасность учебных заведений, которые полагаются на эту платформу.

Что вам следует делать?

Если вы являетесь пользователем Canvas, настоятельно рекомендуется принять превентивные меры, несмотря на заверения компании в том, что данные были удалены:

1. Немедленно смените пароль: Смените пароль от своей учетной записи Canvas на надежный и уникальный. Если вы используете этот пароль на других платформах, обязательно смените и их.
2. Включите двухфакторную аутентификацию (2FA): Если для вашей учетной записи Canvas или связанной с ней школьной системы доступна 2FA, немедленно включите ее. Это значительно предотвратит несанкционированный доступ к вашей учетной записи, даже если ваш пароль будет украден.
3. Остерегайтесь фишинговых атак: Злоумышленники могут использовать ваш украденный адрес электронной почты и личную информацию для отправки убедительных, персонализированных фишинговых писем. Избегайте перехода по ссылкам и загрузки вложений из подозрительных писем, которые якобы пришли от Canvas или вашего учебного заведения.
4. Следите за своими учетными записями: Следите за любой подозрительной активностью в других ваших онлайн-аккаунтах.

Заявление компании

В своем официальном заявлении Instructure подчеркнула, что сразу после обнаружения инцидента начала работать с командой экспертов по кибербезопасности и что уязвимости в ее системах были устранены. Компания защитила свое решение вести переговоры с хакерами, заявив: «Наш приоритет — защита данных наших пользователей», и что соглашение было необходимым шагом для предотвращения широкого распространения данных. Однако этот подход был подвергнут резкой критике со стороны экспертов по безопасности за финансирование киберпреступности и поощрение будущих атак. Тот факт, что практически невозможно проверить, действительно ли хакеры удалили данные, ставит под серьезное сомнение эффективность такой сделки.

Kaynak

https://www.securityweek.com/deal-reached-with-hackers-to-delete-data-stolen-from-the-canvas-educational-platform/