İngiltere Siber İzleme Merkezi (CMC), Instructure’ın Canvas öğrenim yönetim sistemini etkileyen siber olayın kapsamlı bir analizini yayınladı. Eğitim teknolojisi şirketinin kendi bulgularını önümüzdeki hafta paylaşmaya hazırlandığı bir dönemde gelen bu rapor, yaklaşık 160 İngiliz yükseköğretim kurumunun etkilendiğini ve tehdit aktörlerinin gizli ders ve kullanıcı verilerini sızdırdığını ortaya koyuyor. Dünya genelinde ise yaklaşık 9.000 eğitim kurumunun bu olaydan etkilendiği tahmin ediliyor. CMC, olayın minimum kategori eşiğini karşılamasa da, veri ihlali olaylarının finansal etkisini daha iyi anlamak ve Birleşik Krallık yükseköğretim sektöründeki siber risklere ilişkin içgörüyü derinleştirmek amacıyla bu incelemeyi gerçekleştirdi.
CMC, bir siber saldırıyı eğer 10 milyon sterlin (13 milyon dolar) üzerinde kayba yol açıyorsa veya Birleşik Krallık kuruluşlarının %0,01'inden fazlasını etkiliyorsa 'Kategori 1 Olay' olarak sınıflandırıyor. Karşılaştırma yapmak gerekirse, 2025'te Jaguar Land Rover'a yapılan siber saldırı, beşli CMC ölçeğinde Kategori 3 sistemik bir olay olarak derecelendirilmişti. Canvas olayı, veri ihlallerinin büyük ölçekli kesinti olaylarından finansal profil açısından nasıl farklılaşabileceğini gösteriyor. CMC incelemesine göre, bu olayda kayıplar uzun süreli iş kesintisinden ziyade daha çok müdahale, kurtarma ve risk yönetimi faaliyetlerinden kaynaklandı.
Canvas siber saldırısı, 29 Nisan'da Instructure'ın Canvas'te yetkisiz bir etkinlik tespit etmesiyle başladı. Şirket, bu etkinliğin teknoloji ve eğitim dahil olmak üzere birden fazla sektörde büyük ölçekli saldırılarıyla bilinen bir siber suç örgütü tarafından gerçekleştirildiğini açıkladı. 7 Mayıs 2026'da, aynı tehdit aktörü ikinci bir Canvas güvenlik açığı aracılığıyla ek erişim sağladı. Yetkisiz aktör, bazı öğrenci ve öğretmenler Canvas üzerinden oturum açtığında görünen sayfalarda değişiklikler yaptı. Yaklaşık 330 kurumsal Canvas oturum açma sayfasında görünen bir sayfa tahrifat mesajı, birçok kişinin ShinyHunters fidye yazılım grubunun saldırının merkezinde olduğu sonucuna varmasına yol açtı. Ancak Instructure bu iddiayı doğrulamadı. Şirket, 9 Mayıs'ta Canvas'ın tamamen çevrimiçi ve kullanıma hazır olduğunu doğruladı. CrowdStrike, olayla ilgili adli soruşturmaya dahil oldu ve Instructure, saldırının Öğretmenler İçin Ücretsiz hesaplarından biri kullanılarak gerçekleştirildiğini belirtti.
Teknik Analiz
CMC, etkilenen yükseköğretim kurumu sayısına rağmen tehdit aktörlerinin diğer kurumsal sistemlere yanal hareket ettiğine dair bir kanıt bulunmadığını söyledi. Rapor, Canvas olayının analiziyle pekiştirilen ve yükseköğretim kurumları için 'ortak iyi uygulama' olarak tanımlanan öneriler içeriyor. Bunlar arasında mimariyi riskle uyumlu hale getirmek, uygulama ve veri katmanlarını ayırmak, çok faktörlü kimlik doğrulamayı (MFA) tutarlı bir şekilde zorunlu kılmak, üçüncü taraf erişimini kontrol etmek, denizaşırı bağımlılıkları değerlendirmek, SaaS güvenliğini güçlendirmek ve olay müdahale planlarını test etmek yer alıyor.
Nasıl Önlem Alınmalı?
İletişim, bir olaya müdahale eden kuruluşlar için önemli bir öneri olarak öne çıktı. CMC, yazılım sağlayıcılarının olay bildirimleri için uygun müşteri bağlantılarını (örneğin CIO veya CISO) sürdürmesi gerektiğini belirtti. Ayrıca, olayın ardından eğitim teknolojisi şirketi, 'bu olaya karışan yetkisiz aktörle bir anlaşmaya vardığını' ancak para alışverişi olup olmadığını belirtmediğini açıkladı. CMC, fidye ödemesinin ardından verilerin silineceğine dair vaatlerin, görünür teknik silme kanıtları sunulsa bile güvenilmez olduğunu vurguladı. Bu durumda, öğrencilere ve diğerlerine yönelik devam eden riskin doğrudan şantaj olması pek olası değil. Daha olası bir risk, sızdırılan verilerin daha sofistike kimlik avı e-postalarıyla hedef almak için kullanılması.
Canvas, ilgili bilgilerin kamuya açıklanmasını beklemediğini ancak etkilenenlerin kimlik avı, smishing ve vishing dolandırıcılıklarına karşı dikkatli olması gerektiğini vurguladı. Bu olay, eğitim sektörünün siber güvenlik zafiyetlerini bir kez daha gözler önüne seriyor. Özellikle büyük ölçekli öğrenim yönetim sistemlerinin hedef alınması, kurumların yalnızca teknolojik altyapılarını değil, aynı zamanda tedarik zinciri güvenliğini ve olay müdahale planlarını da sürekli olarak gözden geçirmeleri gerektiğini gösteriyor. CMC'nin yayınladığı rehber, eğitim kurumlarının benzer olaylara karşı daha dirençli hale gelmesi için önemli bir yol haritası sunuyor.
Kaynak: infosecurity-magazine.com
