Fidye yazılımı çeteleri, hedef seçerken zayıf güvenlik önlemleri olan, değerli verilere sahip ve kritik hizmet sunan kuruluşları arar. K-12 okul sistemleri bu tanıma tam olarak uyar. Son yıllarda okullar ve teknoloji tedarikçileri, büyük çaplı siber saldırılara maruz kalıyor. Tedarik zinciri güvenlik açıkları, okullar için en büyük tehdidi oluşturuyor. Sınırlı IT personeli olan okullar, bu tedarikçi ilişkilerini yönetmekte ve güvence altına almakta zorlanıyor. Siber suçlular, bir yazılım tedarikçisinin sistemine sızdıktan sonra bu erişimi okulların ağlarına yayılmak için kullanıyor. Bu ağlarda genellikle çalışan maaş kayıtları, ebeveynlerin finansal bilgileri ve öğrencilerin sağlık verileri gibi zengin veriler buluyorlar. Los Angeles Unified School District’e yapılan saldırıda, öğrencilerin evsizlik durumu ve engellilik bilgileri çalındı.
Siber saldırılardaki artış, federal hükümetin K-12 okullarını ve üniversiteleri kaderine terk etmesiyle aynı döneme denk geliyor. ABD Eğitim Bakanlığı, eğitim topluluğu için Sektör Risk Yönetimi Ajansı (SRMA) olarak belirlenmiş olmasına rağmen, uzun süredir en yetersiz kaynaklara sahip ve en az yetenekli SRMA’lardan biri. Yıllardır değişim uyarıları yapılmasına rağmen bir ilerleme kaydedilmedi. Trump yönetiminin bakanlığa yönelik kapsamlı kesintileri sorunu daha da kötüleştirdi. Ayrıca yönetim, okullara büyük fayda sağlayan eyalet ve yerel bilgi paylaşım grubunun finansmanını kesti ve eğitim sektörü için yeni oluşturulan koordinasyon kurulunun çalışmalarını durdurdu.
Cybersecurity Dive, Dark Reading ve TechTarget SearchSecurity editörlerinin katıldığı bir panelde, eğitim sektörünün karşı karşıya olduğu siber güvenlik tehditleri masaya yatırıldı. Panelde, Instructure’ın Canvas Öğrenim Yönetim Sistemi’ne yapılan ve tarihin en büyük eğitim saldırısı olarak nitelendirilen olay ele alındı. ShinyHunters tehdit grubu, 275 milyon kullanıcıya ait 3.65 TB veriyi çaldığını ve yaklaşık 9.000 okulu etkilediğini iddia etti. Instructure, saldırganlarla bir anlaşmaya vardığını ve yazılımın güvenli olduğunu duyurdu. Fidyenin ödenip ödenmediği bilinmiyor. Benzer şekilde, ShinyHunters kısa süre önce Oracle PeopleSoft yazılım paketlerindeki güvenlik açıklarını kullanarak yükseköğretim kurumlarına saldırdı. Google, bazı kuruluşların açıkları kapatabildiğini, ancak diğerlerinin verilerinin sızdırıldığını bildirdi.
Sonuç ve Değerlendirme
Dark Reading yazarı Arielle Waldman, eğitim sektörünün karşılaştığı saldırıların son beş yılda arttığını vurguluyor. 2023’te Progress Software’in MOVEit dosya transfer yazılımına yapılan fidye yazılımı saldırısı birçok okulu etkiledi. PowerSchool veri ihlali ise öğrencilerin isim, adres, doğum tarihi, akademik kayıt ve tıbbi bilgilerini çaldı. Her iki olayda da fidyenin ödendiği bildirildi. Okullar, sınırlı bütçeleri ve uzman personel eksikliği nedeniyle bu tür saldırılara karşı koymakta zorlanıyor. Tedarik zinciri saldırıları, okulların kullandığı popüler platformlara odaklanarak geniş bir etki yaratıyor. Canvas saldırısının final haftasına denk gelmesi, eğitim sürecini daha da aksattı. Ancak öğrenciler sosyal medyada saldırıyı şaka konusu yaparak tepki gösterdi.
Okulların siber güvenlik zafiyetleri, yalnızca teknik altyapı eksikliklerinden değil, aynı zamanda yönetimsel ve finansal kısıtlamalardan kaynaklanıyor. Çoğu okul, siber güvenlik bütçesini artıramıyor veya yeterli personel istihdam edemiyor. Ayrıca, eğitim sektörü, diğer sektörlere kıyasla daha az düzenlemeye tabi ve federal destekten yoksun. Uzmanlar, okulların siber dayanıklılığını artırmak için daha fazla kamu-özel sektör iş birliği, düzenli güvenlik denetimleri ve çalışan eğitimlerinin şart olduğunu belirtiyor. Özellikle tedarikçi yazılımlarının güvenlik değerlendirmesinin yapılması ve çok faktörlü kimlik doğrulama gibi temel önlemlerin alınması gerekiyor.
Sonuç olarak, okullar siber suçlular için cazip hedefler olmaya devam ediyor. Tedarik zinciri açıkları, fidye yazılımları ve veri ihlalleri, eğitim sektörünü tehdit eden başlıca unsurlar. Federal hükümetin yetersiz desteği ve okulların sınırlı kaynakları, savunmayı zorlaştırıyor. Ancak farkındalık arttıkça ve sektör genelinde iş birliği güçlendikçe, okulların daha dirençli hale gelmesi mümkün. Öğrenci verilerinin korunması, eğitimin kesintisiz devamı için kritik önem taşıyor. Bu nedenle, okulların siber güvenlik yatırımlarını artırması ve proaktif önlemler alması kaçınılmaz.
Kaynak: cybersecuritydive.com
