Instructure raggiunge un accordo con gli hacker dopo violazioni dei dati

Instructure, la società dietro il popolare portale scolastico Canvas, ha annunciato martedì di aver "raggiunto un accordo" con i cybercriminali che hanno violato i suoi sistemi due volte. Questi attacchi hanno portato al furto di una quantità significativa di dati di studenti e personale, causando interruzioni in migliaia di scuole che dipendono dal software Canvas.

La violazione dei dati e gli hacker coinvolti

ShinyHunters, un gruppo di cybercriminali motivati finanziariamente, ha rivendicato la responsabilità per la violazione dei dati del 29 aprile. Il gruppo ha dichiarato di aver rubato informazioni personali di 275 milioni di individui, inclusi studenti e personale. Canvas, utilizzato da quasi 9.000 scuole per gestire dati degli studenti e attività didattiche, è stato l'obiettivo principale dell'attacco.

La scorsa settimana, ShinyHunters ha eseguito una seconda violazione, deturpando le pagine di accesso di Canvas sui siti web delle scuole per fare pressione su Instructure affinché pagasse un riscatto.

L'accordo e le sue implicazioni

Instructure ha rivelato sulla sua pagina degli incidenti lunedì sera che, come parte dell'accordo, gli hacker hanno fornito prove della distruzione dei dati rubati. La società ha inoltre assicurato che i clienti di Canvas non dovranno affrontare estorsioni da parte degli hacker.

Sebbene la società abbia ammesso che c'è "mai completa certezza" quando si tratta di cybercriminali, ha sottolineato che i clienti non dovrebbero interagire direttamente con gli hacker. Tuttavia, Instructure non ha rivelato i termini finanziari dell'accordo né l'importo esatto pagato agli hacker. Il portavoce di Instructure, Brian Watkins, ha rifiutato di fornire ulteriori commenti oltre alla dichiarazione ufficiale dell'azienda.

Risposta e minacce di ShinyHunters

ShinyHunters aveva precedentemente minacciato di pubblicare i dati rubati sul loro sito di leak se Instructure non avesse soddisfatto le loro richieste. A partire da martedì, l'elenco è stato rimosso, suggerendo che un riscatto potrebbe essere stato pagato. Un rappresentante di ShinyHunters ha dichiarato a TechCrunch: "I dati sono stati eliminati, spariti. L'azienda e i suoi clienti non saranno ulteriormente presi di mira o contattati per pagamenti da parte nostra."

Avvertimenti di governi ed esperti di sicurezza

La decisione di Instructure di pagare il riscatto ha sollevato interrogativi. I governi, compresi gli Stati Uniti, hanno costantemente esortato le vittime di crimini informatici a non pagare riscatti, poiché ciò incoraggia ulteriori attacchi. Anche gli esperti di sicurezza mettono in guardia dal fidarsi dei cybercriminali che affermano di eliminare i dati rubati, poiché alcuni sono stati trovati a conservare i dati per continuare tentativi di estorsione in seguito.

Confronti con altri attacchi informatici

La violazione di Instructure presenta somiglianze con un attacco informatico a PowerSchool nel 2024. PowerSchool, un altro fornitore di software per informazioni scolastiche, ha subito una massiccia violazione dei dati che ha colpito 70 milioni di studenti e personale. Nonostante abbia pagato gli hacker per recuperare i dati rubati, alcuni dei suoi clienti sono stati successivamente estorti da un altro gruppo criminale che aveva conservato i dati dalla violazione.

Dichiarazione dell'FBI e dettagli sui dati rubati

La scorsa settimana, l'FBI ha rilasciato una dichiarazione riconoscendo le interruzioni alle scuole e alle istituzioni educative negli Stati Uniti. Sebbene non abbia esplicitamente nominato Canvas, l'agenzia ha consigliato alle vittime di non inviare pagamenti o rispondere alle richieste dei cybercriminali.

Secondo TechCrunch, i dati rubati includono i nomi degli studenti, indirizzi email personali e messaggi privati tra insegnanti e studenti. Questi dati contengono informazioni sensibili e personali.

Riconoscimento di Instructure e indagine in corso

Sul suo sito web, Instructure ha confermato che i suoi sistemi sono stati violati due volte nell'arco di un anno. La società ha descritto le due violazioni come "eventi distinti" che hanno coinvolto sistemi separati. Ha inoltre dichiarato che sta continuando a indagare sugli incidenti e a validare le sue scoperte.

Incertezza circonda chi, in Instructure, sia responsabile della supervisione della sicurezza informatica. Quando contattata, la società ha rifiutato di commentare se il suo CEO, Steve Daly, intenda dimettersi in seguito a queste violazioni.

Richiesta di informazioni

Sei un amministratore di Canvas o una scuola colpita dalla violazione? Hai ricevuto una richiesta di estorsione dagli hacker? Vogliamo sentire la tua opinione. Per contattare in modo sicuro questo reporter, raggiungilo tramite Signal con il nome utente zackwhittaker.1337.

Aggiornato con la risposta di Instructure.