Instructure potvrdio sigurnosni incident, a ShinyHunters tvrdi da stoji iza napada

Edu-tehnološka tvrtka Instructure potvrdila je da je u kibernetičkom napadu došlo do krađe podataka, dok extortion skupina ShinyHunters tvrdi da je odgovorna za napad. Instructure je američka tvrtka najpoznatija po platformi Canvas, sustavu za upravljanje učenjem koji školama, sveučilištima i organizacijama služi za vođenje nastave, zadataka i online učenja.

Tvrtka je u petak priopćila da istražuje sigurnosni incident uz pomoć vanjskih stručnjaka za kibernetičku sigurnost i tijela za provedbu zakona. U ažuriranju objavljenom u subotu navela je da su u proboju bili izloženi osobni podaci korisnika. Prema toj izjavi, dosad utvrđeni podaci uključuju određene identifikacijske informacije korisnika u pogođenim institucijama, poput imena, adresa e-pošte i studentskih ID brojeva, kao i poruke među korisnicima.

Instructure je također navela da zasad nema dokaza da su bili obuhvaćeni lozinke, datumi rođenja, državni identifikacijski brojevi ili financijske informacije. Ako se to promijeni, tvrtka je poručila da će obavijestiti pogođene institucije. Kao dio odgovora na incident, Instructure je primijenio zakrpe, pojačao nadzor i preventivno rotirao aplikacijske ključeve. Kupci pritom moraju ponovno autorizirati pristup Instructureovu API-ju kako bi se izdali novi aplikacijski ključevi.

U isto vrijeme, ShinyHunters je tvrtku dodao na svoju stranicu za curenje podataka i tvrdi da je zahvaćeno gotovo 9000 škola diljem svijeta te 275 milijuna pojedinaca, od učenika i nastavnika do drugog osoblja, s podacima koji uključuju osobne identifikacijske informacije. Na toj stranici skupina navodi i da se radi o „nekoliko milijardi” privatnih poruka među učenicima i nastavnicima te između učenika, te tvrdi da je kompromitiran i Salesforce instance, uz dodatne podatke. ShinyHunters također tvrdi da su podaci ukradeni preko ranjivosti u sustavima Instructurea koja je sada zakrpana.

Prema navodima skupine, ukradeni skup podataka obuhvaća više od 240 milijuna zapisa vezanih uz učenike, nastavnike i osoblje, a sadržaj uključuje imena učenika, adrese e-pošte, upisane kolegije i privatne poruke nastavnicima. Podaci koje je podijelio napadač, kako se navodi, pokazuju da se navodni skup proteže na gotovo 15.000 institucija smještenih u više geografskih regija, uključujući Sjevernu Ameriku, Europu i Azijsko-pacifičku regiju. BleepingComputer nije mogao neovisno potvrditi koje su škole ili koliko je ljudi pogođeno te je Instructureu poslao dodatna pitanja o tvrdnjama napadača.