Canvasin taustayhtiö maksoi hakkereille varastettujen opiskelijatietojen poistamisesta

Canvas-oppimisalustan taustayhtiö Instructure kertoo päässeensä sopimukseen hakkereiden kanssa laajan kyberhyökkäyksen jälkeen. Hyökkäys häiritsi tuhansien yliopistojen ja korkeakoulujen toimintaa Yhdysvalloissa, Kanadassa, Australiassa ja Britanniassa, ja hyökkääjät uhkasivat julkaista verkossa 3,5 teratavua opiskelijoihin ja oppilaitoksiin liittyvää varastettua dataa.

Hyökkäys häiritsi opetusta ja kokeita

Canvas on laajasti käytetty oppimisalusta, jonka avulla oppilaitokset hallinnoivat muun muassa kurssimateriaaleja ja opetuksen arjen toimintoja. Tietomurron yhteydessä palvelu meni nurin, mikä aiheutti häiriöitä myös kokeisiin.

Arvioiden mukaan hyökkäys koski noin 9 000 oppilaitosta. Hakkereiden julkaisemassa laajassa asiakirjassa mainittiin muun muassa Georgetownin, Harvardin ja Cornellin yliopistot. Kaikkien listattujen organisaatioiden osalta ei kuitenkaan ole selvää, pääsivätkö hyökkääjät todella järjestelmiin tai mitä tietoja mahdollisesti vietiin.

Tietomurron kerrotaan paljastuneen 29. huhtikuuta. Vastuun hyökkäyksestä on ottanut ShinyHunters-nimellä tunnettu kiristysryhmä, joka ilmoitti murtautuneensa Instructuren Canvas-alustaan.

Sopimuksen ehdot jäivät avoimiksi

Instructure ei ole kertonut sopimuksen tarkkoja ehtoja. Yhtiön mukaan sen ensisijainen motiivi oli suojella opiskelijoiden ja koulutushenkilöstön tietoja. Hakkereiden kerrotaan väittäneen, että varastettu data on poistettu ja että he eivät aio kiristää opiskelijoita tai oppilaitoksia.

Yhtiö totesi kuitenkin, ettei kyberrikollisten kanssa asioitaessa ole koskaan täydellistä varmuutta. Instructuren mukaan se piti tärkeänä tehdä hallinnassaan olevat toimet, jotta asiakkaat saisivat tilanteessa mahdollisimman paljon lisärauhaa.

Maksaminen voi lisätä riskejä

Kyberrikollisille maksaminen on vastoin lainvalvontaviranomaisten yleistä ohjeistusta eri puolilla maailmaa. Syynä on se, että maksut voivat ruokkia uusia hyökkäyksiä, eikä rikollisten lupauksiin tietojen poistamisesta voida luottaa varmasti.

Aiemmissa tapauksissa rikollisryhmät ovat ottaneet lunnaat vastaan mutta säilyttäneet varastettuja tietoja myöhempää myyntiä varten. Esimerkiksi LockBit-ryhmään liittyneessä tutkinnassa poliisi löysi varastettua dataa, jota ei ollut poistettu maksuista huolimatta.

Tapaus korostaa koulutusteknologiayhtiöihin kohdistuvaa painetta. Oppimisalustat voivat sisältää opiskelijatietoja, kirjautumistunnuksia ja muuta arkaluonteista aineistoa, jota voidaan käyttää petoksiin, identiteettivarkauksiin, kiristykseen tai uusiin tietomurtoihin.