ShinyHunters informa segundo ataque contra Instructure

La pandilla ShinyHunters ha reclamado una segunda infracción consecutiva contra Instructure, proveedor del sistema de gestión de aprendizaje (LMS) Canvas, pocas horas después de que la compañía afirmara que todo el asunto había terminado.

El 25 de abril el Operación de cibercrimen ShinyHunters hizo lo que ha estado haciendo durante años: explotó la infraestructura de nube expuesta de una organización grande y bien conectada para acceder, robar y luego amenazar con exponer una gran cantidad de datos. Sin embargo, esta vez la historia antigua siguió un camino no lineal. Instruir afirmó que la infracción se resolvióluego ShinyHunters reclamó un segundo ataque y, mientras tanto, la actividad disruptiva continúa al momento de esta publicación. Todo esto cuando comienza la semana de exámenes finales en Estados Unidos.

Dark Reading recurrió a Instructure para conciliar sus afirmaciones anteriores con informes en línea de estudiantes y profesores. En un comunicado, la empresa reconoció que había un «incidente de seguridad en curso» debido a un compromiso posterior de «cuentas gratuitas de profesores».

Relacionado:Una violación de la estructura escolar expone la dependencia de las escuelas de los proveedores

¿ShinyHunters ha violado Instructure dos veces?

Desde la infracción, las comunicaciones públicas de Instructure han destacado su rápida y exhaustiva respuesta a incidentes (IR). El Horario distribuido a los clientes. cree que descubrió la infracción por primera vez con cuatro días de retraso, el 29 de abril, e inmediatamente revocó el acceso al sistema de los atacantes. Pero el 30 de abril, la empresa tuvo que tomar medidas adicionales para abordar “accesos sospechosos adicionales”.

El 2 de mayo, el director de seguridad de la información (CISO), Steve Proud, declaró: “Creemos El incidente fue contenidoSeñaló algunas medidas tomadas para garantizar que los atacantes no puedan volver a ingresar, como parchear y rotar claves. El 6 de mayo, la empresa reiteró que «no estamos viendo ninguna actividad no autorizada en curso».

Estas afirmaciones han sido cuestionadas en línea por estudiantes y profesores insatisfechos que informan que sus La lección fue interrumpida.y que fueron golpeados Noticias de Splash de ShinyHunters Sólo el 7 de mayo. Algunas escuelas afectadas ahora están regresando informes anteriores y más optimistas transmitido por el vendedor. y un nueva nota de rescate de ShinyHunters Circula un mensaje en el que los hackers afirman haber reinfectado la empresa. El aviso ofrece a las escuelas afectadas la oportunidad de negociar directamente con ellas y traslada la fecha límite para compartir la información al 12 de mayo desde el 6 de mayo informado anteriormente.

Dark Reading no puede confirmar ninguna afirmación específica en línea, pero un estudiante afectado envió capturas de pantalla de Dark Reading de la página de inicio que circulaba recientemente, que, según dijo, lo interrumpió el 7 de mayo. Dennis Pomazanov, un estudiante de Georgia Tech, recuerda: «Cuando intenté ver mis calificaciones, fui recibido con el mensaje de rescate en lugar de la página normal de Canvas. En ese momento, tampoco pude usar Canvas para contactar a profesores o compañeros de clase sobre mis preguntas, lo que hizo que la situación fuera aún más frustrante».

Relacionado:Los ataques abusan del enlace de Windows Phone para robar SMS y evitar 2FA

En una declaración a Dark Reading el 8 de mayo, Instructure reconoció lo que estaban experimentando estudiantes como Pomazanov. Se informó que Canvas se desconectó nuevamente el 7 de mayo para contener el incidente en curso. «Hemos confirmado que el actor no autorizado aprovechó un problema relacionado con nuestras cuentas Free For Teacher», escribió un portavoz de la empresa, sin especificar la naturaleza exacta de la vulnerabilidad. «Por esta razón, hemos tomado la difícil decisión de cerrar temporalmente nuestras cuentas Free For Teacher. Esto nos da la confianza para restaurar el acceso a Canvas, que ahora está completamente en línea y disponible para su uso nuevamente».

“Personalmente, tuve suerte porque ya había completado mis exámenes finales y mis tareas”, dice Pomazanov, “pero conozco a varios amigos que todavía estaban tratando de estudiar, completar tareas o prepararse para los exámenes, y la cancelación se lo puso mucho más difícil”.

¿Qué escuelas fueron pirateadas a través de Canvas?

Canvas by Instructure es una de las plataformas de software más utilizadas en Capacitación Hoy. Es un compañero de enseñanza en línea donde los estudiantes envían mensajes a sus maestros y envían tareas, los maestros publican tareas y calificaciones, etc. Los analistas de la industria colocan a Canvas Cuota de mercado en el sector LMS del 47% entre las instituciones de educación superior en América del Norte y 28% en los grados K-12. También se utiliza habitualmente en la educación de adultos.

Relacionado:El campo de batalla cibernético en Medio Oriente se está expandiendo, particularmente en los Emiratos Árabes Unidos.

ShinyHunters afirma haber robado aproximadamente 3,65 TB de nombres, correos electrónicos, números de identificación de estudiantes (y, quizás lo más interesante, «varios miles de millones de mensajes privados» entre estudiantes y profesores) de casi 9.000 instituciones, que representan aproximadamente 275 millones de personas. Algunos cálculos sugieren que ShinyHunters no ha dejado intacto a ningún cliente de Canvas: sólo hay alrededor de 1.000 en Norteamérica. 4.000 universidades acreditadasy alrededor 10.000 escuelas K-12 utilizan LMS.

Estudiantes intrépidos y partes interesadas visitaron la página de filtración de ShinyHunters y compilaron una lista de víctimas, que ahora circula en línea. La larga lista incluye numerosas instituciones de educación superior y escuelas K-12 de América del Norte, así como instituciones educativas en Europa, América Central y otros lugares del extranjero. Esto también incluye grandes empresas como Amazon y Apple, centros de salud y ciudades y estados, que pueden referirse a organizaciones gubernamentales. Dark Reading no descargó esta lista de forma independiente, sino que la comparó Datos reportados de investigadores de ciberseguridad, así como información de conocimiento público sobre la base de usuarios de Canvas.

Riesgos para colegios, empresas y menores

Las declaraciones públicas de Instructure y sus clientes enfatizaron que, si bien los atacantes robaron cierta información personal, es posible que otros datos particularmente confidenciales, como contraseñas, cumpleaños e información financiera, no se encontraran entre los hallazgos.

Si esa es la buena noticia, entonces la mala es el gran volumen y variedad de riesgos asociados con los datos que la empresa perdió. A diferencia de la mayoría de las filtraciones de datos que afectan a grupos específicos de personas de maneras específicas, los clientes de Canvas incluyen el gobierno, la atención médica y grandes sectores empresariales, cada uno sujeto a sus propios marcos legales y regulatorios y a los riesgos consiguientes. Sin embargo, lo más evidente es el compromiso de miles de escuelas K-12Los delincuentes ahora tienen acceso a enormes cantidades de datos sobre menores y amenazan con revelarlos.

«Cuando una violación involucra información personal de menores, la gravedad y los riesgos aumentan significativamente», dijo Darren Guccione, director ejecutivo y cofundador de Keeper Security. “A diferencia de una tarjeta de crédito comprometida o una contraseña falsificada, el nombre, la fecha de nacimiento, los registros institucionales y las comunicaciones privadas de un niño no se pueden reemplazar.

«La difícil pregunta que plantea este incidente es qué debería esperar la industria de las plataformas que operan a esta escala y gestionan este tipo de datos», afirma. «Cuando un único proveedor presta servicios a miles de instituciones en todo el mundo, el estándar de seguridad debe reflejar esa responsabilidad».