Una violación de la estructura escolar expone la dependencia de las escuelas de los proveedores

La violación contra un proveedor líder de tecnología educativa ha generado temores y preocupaciones sobre posibles impactos posteriores en las escuelas, su personal y sus estudiantes.

Instruirque proporciona el software Canvas del sistema de gestión de aprendizaje (LMS) a clientes de educación K-12 y superior, reveló una violación de datos el 1 de mayo en la que un actor de amenazas robó «cierta información de identificación de los usuarios en las instituciones afectadas», dijo la compañía. dijo en su página de estado. Esta información de identificación incluye nombres, direcciones de correo electrónico, números de identificación de estudiantes y mensajes compartidos entre usuarios. Según la divulgación, no hay evidencia de que se hayan robado contraseñas, fechas de nacimiento, identificaciones gubernamentales o información financiera.

Cuando Instructure reveló por primera vez el incidente, Canvas Data 2 y Canvas Beta se desconectaron brevemente para realizar tareas de mantenimiento para facilitar la investigación, al igual que Canvas Test. Canvas Data 2 estuvo disponible el 3 de mayo, la versión beta el 4 de mayo; La prueba permanece en mantenimiento.

Relacionado:Los ataques abusan del enlace de Windows Phone para robar SMS y evitar 2FA

cazadoresbrillantesun prolífico actor de amenazas de extorsión de datos, se atribuyó la responsabilidad del ataque, afirmando que exfiltró 3,65 TB de datos de aproximadamente 275 millones de usuarios de 9.000 Instituciones. En su sitio web de filtración de datos cazadoresbrillantes Señaló hoy como fecha límite y amenazó a Instructure con “PAGAR O FUGAR”.

Steve Proud, director de seguridad de la información de Instructure, dijo que la compañía contrató expertos forenses externos y tomó varias medidas de respuesta a incidentes, incluida la revocación de credenciales privilegiadas y tokens de acceso para los sistemas afectados, la implementación de parches para mejorar la seguridad, la rotación de ciertas claves por precaución (aunque no hubo evidencia de uso indebido) y la implementación de una mayor supervisión en todas las plataformas.

«Gracias por su paciencia mientras trabajamos para resolver este asunto», escribió Proud. «Lamentamos sinceramente cualquier inconveniente o preocupación que esto pueda causar».

Dark Reading se puso en contacto con Instructure para solicitar comentarios, pero la empresa no respondió al cierre de esta edición.

La violación del Canvas: amenazas a las instituciones académicas

Si bien parte de la información de identificación puede no incluir contraseñas, identificaciones gubernamentales o información bancaria, los mensajes enviados entre usuarios (por ejemplo, estudiantes, profesores y otros profesores) pueden ser los datos más confidenciales en riesgo. actores de ShinyHunters. Una preocupación sería si los atacantes podrían utilizar la información obtenida de estos mensajes como palanca adicional para chantajear a instituciones o familias. Información de identificación específica como esta también sería útil para Seguimiento de la actividad de phishing.

Relacionado:El campo de batalla cibernético en Medio Oriente se está expandiendo, particularmente en los Emiratos Árabes Unidos.

Y para las instituciones académicas que utilizan Canvas, no es fácil cambiar de un LMS a otro, especialmente cuando el producto en cuestión es el más popular de su tipo en Norteamérica.

Denis Calderone, director de tecnología (CTO) de la empresa de seguridad Suzu Labs, le dice a Dark Reading que, según la Ley de Privacidad y Derechos Educativos de la Familia (FERPA) de 1974, las escuelas todavía tienen el deber de proteger los datos de los estudiantes, incluso si están almacenados en una plataforma que la escuela no controla.

«Hay otros proveedores de LMS, pero migrar desde Canvas no es trivial y sospecho que la mayoría de las instituciones afectadas no van a ninguna parte», afirma. Calderone añade que si bien las instituciones que ejecutan Canvas no pueden controlar la postura de seguridad de Instructure, la escuela puede controlar qué datos se almacenan allí. Las organizaciones relevantes deberían revisar sus políticas de retención de datos ahora.

De manera similar, Ensar Şeker, director de seguridad de la información (CISO) de SOCRadar, dice que a medida que plataformas como Canvas se integren profundamente en las operaciones educativas diarias, los educadores y estudiantes “heredarán” la postura de seguridad de esta plataforma, lo sepan o no.

«La realidad es que, de manera realista, los docentes no pueden evitar el uso de estos sistemas, por lo que el enfoque debe pasar de la confianza ciega a la resiliencia y la mitigación de riesgos. Las instituciones deben asumir que en algún momento puede ocurrir una brecha con cualquier plataforma de comunicaciones basada en la nube y desarrollar políticas en consecuencia», dice Şeker. «Esto significa limitar las discusiones sensibles en los sistemas de mensajería de la plataforma, minimizar la retención de datos innecesaria y hacer cumplir estrictos controles de identidad». Identificación multifactorial (MFA) Siempre que sea posible, tenga planes de comunicación claros para responder a las violaciones de seguridad antes de que ocurra un incidente”.

Relacionado:La violación del código fuente de Trellix destaca las crecientes amenazas a la cadena de suministro

Brian Bell, director ejecutivo del proveedor de gestión de acceso e identidad del cliente FusionAuth, dice que las instituciones también deberían exigir a los proveedores que demuestren su propia postura de seguridad a través de certificaciones actuales, auditorías de terceros, obligaciones claras de notificación de infracciones y controles documentados para cosas como claves y tokens API.

“La confianza en los proveedores no puede ser una decisión de adquisición única”, afirma. “En la educación hay que ganárselo continuamente”.