نقض امنیتی Canvas: توافق با هکرها پس از سرقت داده ۲۷۵ میلیون نفر
خلاصهٔ کاملتر
Instructure، شرکت سازنده پلتفرم محبوب آموزشی Canvas که نزدیک به ۹ هزار مدرسه از آن برای مدیریت داده دانشآموزان و دروس استفاده میکنن، اعلام کرده که با گروه هکری ShinyHunters به یک توافق رسیده. این گروه جرایم سایبری با انگیزه مالی، اول در ۲۹ آوریل دست به حمله زد و ادعا کرد اطلاعات شخصی ۲۷۵ میلیون نفر از جمله نام، ایمیل، و پیامهای خصوصی دانشآموزان و معلمان را سرقت کرده.
هفته گذشته هکرها برای بار دوم وارد سیستمهای Instructure شدن و این بار صفحات ورود (login) مدارس را دستکاری کردن تا شرکت را تحت فشار بذارن که باج بپرده. Instructure بعداً در صفحه گزارش رویداد خودش اعلام کرد که هکرها شواهدی مبنی بر حذف دادههای دزدیدهشده ارائه دادن و تعهد دادن که مشتریان Canvas دیگه مورد اخاذی قرار نمیگیرن.
مبلغ این توافق هرگز اعلام نشد و سخنگوی شرکت هم از پاسخ به سؤالات خودداری کرد. آنچه مشخصه اینه که لیست دادههای دزدیدهشده از سایت ShinyHunters حذف شده، که نشونهای از احتمال پرداخت باج هست. نماینده این گروه هکری به TechCrunch گفته: «دادهها حذف شدن، رفتن. شرکت و مشتریانش دیگه هدف ما نیستن.»
اما این توافق با انتقادهای جدی همراهه. دولتها از جمله آمریکا همواره به قربانیان جرایم سایبری توصیه کردن که باج ندن، چون این کار هکرها را تشویق میکنه. کارشناسان امنیتی هم هشدار میدن که نمیشه به قول مجرمان اعتماد کرد؛ بعضی از این گروهها حتی بعد از گرفتن پول، دادهها را نگه داشتن تا دوباره اخاذی کنن.
این ماجرا خیلی شبیه حمله به PowerSchool در سال ۲۰۲۴ هست؛ شرکتی که اطلاعات ۷۰ میلیون دانشآموز ازش دزدیده شد، باج پرداخت کرد، ولی بعداً مشخص شد دادهها اصلاً حذف نشدن و مدارس دوباره مورد اخاذی یه گروه دیگه قرار گرفتن. این الگو نشون میده که پرداخت باج راهحل قطعی نیست.
Instructure تأکید کرده که دو نقض امنیتی «رویدادهای جداگانهای» بودن که سیستمهای متفاوتی را درگیر کردن و تحقیقات هنوز ادامه داره. FBI هم هفته گذشته اعلام کرد از این اختلال در سیستمهای آموزشی باخبره و دوباره تأکید کرد که قربانیان نباید به درخواستهای مجرمان پاسخ بدن یا پولی بپردازن.
نکات کلیدی:
- گروه ShinyHunters ادعای سرقت اطلاعات ۲۷۵ میلیون دانشآموز و کارمند را داره
- Instructure دو بار در کمتر از یک سال هک شد؛ بار دوم صفحات ورود مدارس دستکاری شد
- شرکت با هکرها توافق کرده اما مبلغ باج پرداختی فاش نشده
- کارشناسان امنیتی نسبت به اعتماد به وعده هکرها برای حذف داده هشدار میدن
- ماجرای مشابه PowerSchool نشون داد که پرداخت باج تضمینی برای حذف واقعی دادهها نیست
