İngiltere Siber İzleme Merkezi (CMC), Instructure’ın Canvas öğrenim yönetim sistemini etkileyen siber olayın ayrıntılı analizini paylaştı. Olayda yaklaşık 160 İngiltere yükseköğretim kurumunun etkilendiği ve saldırganların gizli ders ve kullanıcı verilerini ele geçirdiği belirtildi. Dünya genelinde ise 9000 civarında eğitim kurumunun etkilendiği tahmin ediliyor. CMC, bu olayın minimum kategori eşiğini aşmamasına rağmen, veri ihlali olaylarının finansal etkisini daha iyi anlamak, veri ihlali analiz modelini geliştirmek ve İngiltere yükseköğretim sektöründeki siber risk anlayışını derinleştirmek amacıyla inceleme yaptı.
Saldırı süreci 29 Nisan'da Canvas'ta yetkisiz bir etkinliğin tespit edilmesiyle başladı. Instructure, bu etkinliğin teknoloji ve eğitim de dahil olmak üzere birden fazla sektörde büyük ölçekli saldırılar düzenleyen bir siber suç örgütü tarafından gerçekleştirildiğini açıkladı. 7 Mayıs'ta aynı tehdit aktörü, ikinci bir Canvas güvenlik açığından yararlanarak ek erişim sağladı ve bazı öğrenci ve öğretmenlerin oturum açtığı sayfalarda değişiklik yaptı. Yaklaşık 330 kurumsal Canvas oturum açma sayfasında görülen bir tahrifat mesajı, ShinyHunters fidye grubunun saldırının merkezinde olduğu yönünde yorumlara yol açtı, ancak Instructure bu iddiayı doğrulamadı. Instructure, 9 Mayıs'ta Canvas'ın tamamen çevrimiçi ve kullanıma hazır olduğunu doğruladı. CrowdStrike, olayla ilgili adli incelemeye dahil oldu.
CMC, çok sayıda yükseköğretim kurumunun etkilenmesine rağmen, tehdit aktörlerinin diğer kurumsal sistemlere yanal hareket ettiğine dair bir kanıt bulunmadığını belirtti. CMC'nin önerileri arasında mimariyi riske göre hizalama, uygulama ve veri katmanlarını ayırma, çok faktörlü kimlik doğrulamayı (MFA) tutarlı bir şekilde uygulama, üçüncü taraf erişimini kontrol etme, denizaşırı bağımlılıkları değerlendirme, SaaS güvenliğini güçlendirme ve olay müdahale planlarını test etme yer alıyor. Bu önlemler, Canvas olayının analiziyle pekiştirilen 'ortak iyi uygulamalar' olarak tanımlandı.
Olay sonrası iletişim de kritik öneme sahipti. CMC, yazılım sağlayıcılarının olay bildirimleri için uygun müşteri irtibat noktalarını (CIO veya CISO gibi) bulundurması gerektiğini vurguladı. Instructure, yetkisiz aktörle bir anlaşmaya vardığını ancak para transferi yapılıp yapılmadığını açıklamadı. CMC, fidye ödemesi sonrası verilerin silineceğine dair vaatlerin güvenilir olmadığını belirtti. Öğrenciler için en olası riskin, sızdırılan verilerin daha sofistike kimlik avı e-postalarıyla hedef alınması olduğu ifade edildi. Canvas, bilgilerin kamuya açıklanmasını beklemediğini ancak etkilenenlerin kimlik avı, smishing ve vishing dolandırıcılıklarına karşı dikkatli olması gerektiğini vurguladı.