Instructure、2度にわたり侵入したハッカー集団と合意
Instructure、データ侵害を受けハッカーと合意
広く利用されている学校向け情報ポータル「Canvas」を運営するInstructureは火曜日、同社のシステムに2度侵入したサイバー犯罪者と「合意に達した」と発表した。これらの攻撃により、学生および職員の大量のデータが盗まれ、Canvasソフトウェアを利用する数千校に混乱が生じた。
データ侵害と関与したハッカー
金銭目的のサイバー犯罪グループ「ShinyHunters」は、4月29日に発生したデータ侵害への関与を認めた。同グループは、学生や職員を含む2億7,500万人分の個人情報を盗んだと主張している。学生データや履修課程の管理に約9,000校が利用しているCanvasが、この攻撃の主な標的となった。
先週、ShinyHuntersは2度目の侵害を実行し、学校ウェブサイト上のCanvasログインページを改ざんして、Instructureに身代金の支払いを迫った。
合意とその影響
Instructureは月曜日遅く、インシデント情報ページで、合意の一環としてハッカーから盗まれたデータが破棄されたことを示す証拠を受け取ったと明らかにした。また、Canvasの顧客がハッカーから恐喝を受けることはないと保証した。
同社は、サイバー犯罪者との交渉において「完全な確実性は決してない」と認める一方、顧客がハッカーと直接やり取りする必要はないと強調した。ただし、Instructureは合意の金銭的条件や、ハッカーに支払った正確な金額を明らかにしていない。Instructureの広報担当者Brian Watkinsは、同社の公式声明以上のコメントを控えた。
ShinyHuntersの反応と脅迫
ShinyHuntersは以前、Instructureが要求に応じなければ、盗んだデータを同グループのリークサイトで公開すると脅していた。火曜日の時点で掲載情報は削除されており、身代金が支払われた可能性が示唆されている。ShinyHuntersの代表者はTechCrunchに対し、「データは削除され、完全になくなった。当社が同社やその顧客を再び標的にしたり、支払いを求めて連絡したりすることはない」と語った。
政府およびセキュリティ専門家の警告
Instructureが身代金を支払ったとの判断には、疑問の声が上がっている。米国を含む各国政府は、支払いがさらなる攻撃を助長するため、サイバー犯罪の被害者に対して身代金を支払わないよう一貫して呼びかけてきた。セキュリティ専門家も、盗んだデータを削除したと主張するサイバー犯罪者を信用しないよう警告している。実際、一部の犯罪者がデータを保持し、後になって恐喝を続けていた事例が確認されている。
他のサイバー攻撃との比較
Instructureへの侵害は、2024年にPowerSchoolが受けたサイバー攻撃と類似している。学校向け情報管理ソフトウェアを提供するPowerSchoolでは、7,000万人の学生および職員に影響を及ぼす大規模なデータ侵害が発生した。盗まれたデータを取り戻すためにハッカーへ支払いを行ったにもかかわらず、その後、一部の顧客は侵害で得たデータを保持していた別の犯罪グループから恐喝を受けた。
FBIの声明と盗まれたデータの詳細
先週、FBIは米国各地の学校および教育機関に混乱が生じていることを認める声明を発表した。Canvasの名称は明示しなかったものの、被害者に対して、支払いを行ったりサイバー犯罪者の要求に応じたりしないよう勧告した。
TechCrunchによると、盗まれたデータには学生の氏名、個人用メールアドレス、教師と学生の間で交わされた非公開メッセージが含まれている。これらのデータには、機密性の高い個人情報が含まれている。
Instructureによる事実確認と継続中の調査
Instructureは自社ウェブサイトで、1年以内にシステムが2度侵害されたことを認めた。同社は、2件の侵害について、別々のシステムで発生した「個別の事象」だと説明している。また、引き続きインシデントを調査し、調査結果の検証を進めていると述べた。
Instructureでサイバーセキュリティの監督責任を誰が担っているのかは不明である。同社は取材に対し、CEOのSteve Dalyが今回の侵害を受けて辞任する予定があるかどうかについて、コメントを控えた。
情報提供のお願い
あなたは今回の侵害の影響を受けたCanvasの管理者または学校関係者ですか？ハッカーから恐喝の要求を受けましたか？情報をお寄せください。この記者に安全に連絡するには、Signalでユーザー名zackwhittaker.1337までご連絡ください。
Instructureからの回答を追記しました。
新しいPCをセットアップする際は、ソフトウェア面の準備もお忘れなく。buy Canva Pro keyはWhokeys.comで購入できます。即時納品、グローバルアクティベーションに対応し、プレミアムテンプレートやAIデザインツールをすべて利用できます。クリエイターや中小企業に最適な追加サービスです。
