米政府、キャンバスの大規模サイバー攻撃に関するインフラストラクチャの証拠を求める

米国下院国土安全保障委員会は、脅迫グループ ShinyHunters による同社の Canvas プラットフォームを標的とした 2 件のサイバー攻撃について証言するよう In Structure 幹部に求めている。このプラットフォームにより、脅威アクターは生徒のデータを盗み、期末試験中に学校を混乱させることができる。

月曜午後、Instructorの最高経営責任者（CEO）Steve Daley氏と国土安全保障委員会のアンドリュー・R・ガーベリーノ委員長に宛てた書簡の中で、同委員会は数百万人の学生に影響を与えるInstructorの大規模な侵害を調査しているためだと述べた。

書簡には「国土安全保障委員会（委員会）は、インストラクチャー・ホールディングスと同社のCanvas学習管理プラットフォームに依存する数千万人の学生、教育者、管理者に影響を与えた最近のサイバーセキュリティ事件に関する報告を調査している」と書かれている。

「1 週間以内に、ShinyHunters として知られるサイバー犯罪グループが In Structure を 2 回ハッキングしました。」

BleepingComputer が最初に報じたように、Instructor は 5 月 3 日に侵害を受けたことを明らかにしました。その後、同社は、攻撃者が同社のシステムに侵入し、Canvas を使用して学生や学校職員のデータを盗んだ後、4 月 29 日に侵入を検知したことを認めた。

同社は、開示された情報には、名前、電子メールアドレス、学生識別番号、プラットフォーム上で学生と教師の間で交換されたメッセージが含まれていると述べた。ただし、データにはパスワード、財務情報、政府識別子は含まれていませんでした。

5月3日、恐喝集団シャイニーハンターズは犯行声明を出し、8,809の大学、学区、オンライン教育プラットフォームから2億8,000万件のデータレコードを盗んだとBleepingComputerに語った。

攻撃者は影響を受けた教育機関のリストを共有しており、各機関で盗まれた記録の件数は数万件から数百万件に及びました。

ShinyHunters グループは 2 回目の攻撃を実行し、全米の学校や大学の Canvas ログイン ポータルをクラッシュさせ、講師にグループとの交渉を要求する恐喝メッセージを表示しました。この混乱は複数の国で期末試験や学期末の活動中に影響を及ぼし、一部の大学は試験の中止を余儀なくされた。

BleepingComputer はその後、攻撃者がいくつかのクロスサイト スクリプティング (XSS) の脆弱性を利用して、認証された管理セッションを取得し、ログイン ポータル ページを変更したことを知りました。

国土安全保障委員会からの書簡によると、カリフォルニア、フロリダ、ジョージア、オクラホマ、オレゴン、ネバダ、ノースカロライナ、テネシー、ユタ、バージニア、ウィスコンシンの学校がこの事件に関連した混乱を報告している。

同委員会は、同社がグループとの交渉を拒否したため、再びインストラクターを標的にしていると主張する攻撃者が投稿したメッセージにも対処した。

昨夜、ShinyHunters が謎の情報漏洩サイトから Instructor を削除した直後、同社は公開漏洩を阻止し、盗まれたデータを確実に削除することで ShinyHunters と合意に達したことを明らかにした。

同社は身代金を支払ったとは明言しなかったし、それに関するBleepingComputerの質問を電子メールで直接確認したわけでもないが、何らかの支払いや合意が得られない限り、恐喝グループが盗まれたデータを削除したり、漏洩を阻止したりすることに同意することはめったにない。

内部セキュリティ委員会は、度重なる侵害は同社のインシデント対応能力と、保管しているデータを適切に保護する義務に関して「重大な疑問」を引き起こしていると述べた。

同委員会は、インストラクチャーまたは企業の上級代表に対し、ハッキング、盗まれたデータ、その封じ込めと警戒の取り組み、連邦機関との調整の両方について話し合うため、遅くとも5月21日までに説明会に出席するよう求めている。