Canvas Öğrenme Yönetim Sistemi'nin üreticisi Instructure, geçen ay yaklaşık 9000 eğitim kurumunu etkileyen veri ihlalinin sorumlusu siber suçlu grubuyla anlaşmaya vardı. Utah merkezli eğitim teknolojisi firması, olay güncellemesinde 'bu olaya dahil olan yetkisiz aktörle bir anlaşmaya vardıklarını' açıkladı. Şirket, anlaşma kapsamında para transferi yapılıp yapılmadığını belirtmezken, saldırganların genellikle şifreli müzakereler yoluyla Bitcoin ödemesi talep eden ShinyHunters grubu olduğu biliniyor.
Instructure, anlaşmanın etkilenen tüm müşterileri kapsadığını ve bireysel kurumların saldırganlarla iletişime geçmesine gerek olmadığını belirtti. Çalındığı bildirilen verilerin iade edildiği ve şirketin verilerin imha edildiğine dair dijital onay aldığı, ayrıca hiçbir Instructure müşterisinin ayrıca fidye talep edilmeyeceğine dair güvence verildiği ifade edildi. Firma, siber suçlularla uğraşmanın doğasındaki belirsizliği kabul etmekle birlikte, müşterilerine güvence vermek için kontrolü dahilindeki tüm adımları attığını söyledi.
Anlaşma, küresel kolluk kuvvetlerinin tavsiyelerine aykırı olup, sızdırılan verilerin gerçekten imha edildiğine dair garanti vermiyor. Asıl ihlal, Canvas'ın Öğretmenler İçin Ücretsiz sürümündeki destek biletleriyle ilgili açıklanmayan bir güvenlik açığından yararlanılarak gerçekleştirilmiş ve yaklaşık 275 milyon kayıt çalınmıştı. Çalınan alanlar arasında kullanıcı adları, e-posta adresleri, kurs adları, kayıt bilgileri ve mesajlar yer alırken, kurs içerikleri, ödevler ve kimlik bilgilerinin etkilenmediği vurgulandı.
Halcyon siber güvenlik firması, sızdırılan kayıtların takip saldırılarında 'okul yöneticileri, BT destek veya mali yardım ofisleri' gibi davranmak için kullanılabileceği uyarısında bulundu. Instructure, Öğretmenler İçin Ücretsiz hesaplarını geçici olarak kapattı, etkilenen sistemler için ayrıcalıklı kimlik bilgilerini ve erişim tokenlarını iptal etti, dahili anahtarları döndürdü ve ek güvenlik kontrolleri uyguladı. Şirket ayrıca adli bilişim satıcılarıyla çalıştığını ve açığa çıkan verilerin kapsamlı bir incelemesini yürüttüğünü belirtti.
