کنگره آمریکا Instructure را به خاطر حملات Canvas احضار کرد
هوش مصنوعیخلاصهٔ کاملتر
کمیته امنیت داخلی مجلس نمایندگان آمریکا در نامهای به مدیرعامل Instructure، استیو دیلی، خواسته که او یا یک نماینده ارشد شرکت تا ۲۱ مه برای توضیح دو حمله سایبری در یک بازه یکهفتهای حاضر بشن. این کمیته میگه که این رخدادها سؤالات جدی درباره توانایی Instructure در پاسخ به حوادث امنیتی و حفاظت از دادهها مطرح کرده.
Instructure شرکتی است که پلتفرم مدیریت یادگیری Canvas رو اداره میکنه؛ سیستمی که دانشگاهها و مدارس ازش برای مدیریت دروس، تکالیف، و ارتباط استاد-دانشجو استفاده میکنن. این شرکت در ۲۹ آوریل نفوذ به سیستمهاش رو شناسایی کرد و اطلاعاتی مثل نام، آدرس ایمیل، شماره دانشجویی، و پیامهای رد و بدلشده بین دانشآموزان و معلمان فاش شد. رمز عبور، اطلاعات مالی، یا شناسههای دولتی در این نشت نبودن.
گروه ShinyHunters — که به اخاذی سایبری معروفه — مسئولیت حمله رو به عهده گرفت و ادعا کرد بیش از ۲۸۰ میلیون رکورد از ۸٬۸۰۹ مؤسسه آموزشی از جمله دانشگاهها، مدارس، و پلتفرمهای آموزش آنلاین به سرقت برده. تعداد رکوردهای دزدیدهشده از هر مؤسسه از چند دههزار تا چند میلیون متغیر بوده.
در حمله دوم، ShinyHunters از چندین آسیبپذیری XSS (تزریق اسکریپت در سایت) سوءاستفاده کرد تا به جلسات ادمین احراز هویتشده دسترسی پیدا کنه و صفحات ورود Canvas را در مدارس و دانشگاههای سراسر آمریکا با پیامهای اخاذی تغییر بده. این اختلال درست در اوج امتحانات پایانترم اتفاق افتاد و برخی دانشگاهها مجبور به لغو امتحانات شدن. ایالتهایی مثل کالیفرنیا، فلوریدا، جورجیا، ویرجینیا و چند ایالت دیگر از این اختلال آسیب دیدن.
هکرها اعلام کردن که به خاطر امتناع Instructure از مذاکره، حمله دوم رو انجام دادن. در نهایت Instructure اعلام کرد که با ShinyHunters به توافق رسیده تا انتشار عمومی دادهها متوقف بشه و دادههای دزدیدهشده حذف بشن؛ هرچند شرکت صراحتاً نگفت که باج پرداخت کرده یا نه. گروه ShinyHunters هم در سایتش نوشت که دادهها از بین رفتن و مؤسسات آموزشی آسیبدیده نیازی به تماس مستقل با این گروه ندارن.
نکات کلیدی:
- گروه ShinyHunters در یک هفته دو بار به Canvas نفوذ کرد
- اطلاعات ۲۸۰ میلیون دانشآموز از بیش از ۸٬۸۰۰ مؤسسه آموزشی به سرقت رفت
- حمله دوم با آسیبپذیری XSS انجام شد و صفحات ورود Canvas دستکاری شدن
- اختلال در اوج امتحانات پایانترم باعث لغو آزمون در برخی دانشگاهها شد
- کمیته امنیت داخلی کنگره خواهان شهادت مدیران Instructure تا ۲۱ مه شده
- Instructure با هکرها توافق کرده اما از تأیید پرداخت باج خودداری کرده
