Instructure erzielt Vereinbarung mit Hackern nach Datenlecks
Instructure, das Unternehmen hinter dem weit verbreiteten Schulinformationsportal Canvas, gab am Dienstag bekannt, dass es eine "Vereinbarung" mit Cyberkriminellen getroffen hat, die seine Systeme zweimal angegriffen haben. Diese Angriffe führten zum Diebstahl einer erheblichen Menge an Daten von Schülern und Mitarbeitern und beeinträchtigten Tausende von Schulen, die auf die Canvas-Software angewiesen sind.
Der Datenleck und die beteiligten Hacker
ShinyHunters, eine finanziell motivierte Cybercrime-Gruppe, übernahm die Verantwortung für den Datenleck vom 29. April. Die Gruppe gab an, persönliche Informationen von 275 Millionen Personen, darunter Schüler und Mitarbeiter, gestohlen zu haben. Canvas, das von fast 9.000 Schulen zur Verwaltung von Schülerdaten und Kursarbeiten genutzt wird, war das Hauptziel des Angriffs.
Letzte Woche führte ShinyHunters einen zweiten Angriff durch, indem sie Canvas-Anmeldeseiten auf Schulwebsites manipulierten, um Instructure unter Druck zu setzen, ein Lösegeld zu zahlen.
Die Vereinbarung und ihre Auswirkungen
Instructure gab auf seiner Vorfallseite am späten Montag bekannt, dass die Hacker als Teil der Vereinbarung Beweise dafür vorgelegt haben, dass die gestohlenen Daten vernichtet wurden. Das Unternehmen versicherte zudem, dass Canvas-Kunden keinen Erpressungen durch die Hacker ausgesetzt sein würden.
Während das Unternehmen zugab, dass es "niemals absolute Sicherheit" im Umgang mit Cyberkriminellen gibt, betonte es, dass Kunden nicht direkt mit den Hackern in Kontakt treten müssten. Instructure hat jedoch die finanziellen Bedingungen der Vereinbarung oder den genauen Betrag, der an die Hacker gezahlt wurde, nicht offengelegt. Instructure-Sprecher Brian Watkins lehnte es ab, über die offizielle Stellungnahme des Unternehmens hinaus weitere Kommentare abzugeben.
Reaktion und Drohungen von ShinyHunters
ShinyHunters hatte zuvor damit gedroht, die gestohlenen Daten auf ihrer Leak-Site zu veröffentlichen, falls Instructure ihre Forderungen nicht erfüllt. Stand Dienstag wurde das Angebot entfernt, was darauf hindeutet, dass ein Lösegeld gezahlt worden sein könnte. Ein Vertreter von ShinyHunters sagte gegenüber TechCrunch: "Die Daten sind gelöscht, weg. Das Unternehmen und seine Kunden werden von uns nicht weiter ins Visier genommen oder für Zahlungen kontaktiert."
Warnungen von Regierung und Sicherheitsexperten
Die Entscheidung von Instructure, das Lösegeld zu zahlen, hat Fragen aufgeworfen. Regierungen, darunter die Vereinigten Staaten, raten Opfern von Cyberkriminalität konsequent davon ab, Lösegeld zu zahlen, da dies weitere Angriffe fördert. Sicherheitsexperten warnen ebenfalls davor, Cyberkriminellen zu vertrauen, die behaupten, gestohlene Daten zu löschen, da einige nachweislich Daten behalten haben, um später weiterhin Erpressungsversuche zu unternehmen.
Vergleiche mit anderen Cyberangriffen
Der Instructure-Datenleck weist Ähnlichkeiten mit einem Cyberangriff auf PowerSchool im Jahr 2024 auf. PowerSchool, ein weiterer Anbieter von Schulinformationssoftware, erlitt einen massiven Datenleck, der 70 Millionen Schüler und Mitarbeiter betraf. Obwohl das Unternehmen den Hackern zahlte, um die gestohlenen Daten zurückzuerhalten, wurden einige seiner Kunden später von einer anderen kriminellen Gruppe erpresst, die Daten aus dem Leck behalten hatte.
FBI-Erklärung und Details zu gestohlenen Daten
Letzte Woche gab das FBI eine Erklärung heraus, in der es auf Störungen in Schulen und Bildungseinrichtungen in den gesamten Vereinigten Staaten hinwies. Obwohl Canvas nicht ausdrücklich erwähnt wurde, riet die Behörde den Opfern, keine Zahlungen zu senden oder auf die Forderungen der Cyberkriminellen einzugehen.
Laut TechCrunch umfassen die gestohlenen Daten Namen der Schüler, persönliche E-Mail-Adressen und private Nachrichten zwischen Lehrern und Schülern. Diese Daten enthalten sensible und persönliche Informationen.
Anerkennung von Instructure und laufende Untersuchung
Auf seiner Website bestätigte Instructure, dass seine Systeme innerhalb eines Jahres zweimal kompromittiert wurden. Das Unternehmen beschrieb die beiden Angriffe als "unabhängige Ereignisse", die verschiedene Systeme betrafen. Es erklärte außerdem, dass es weiterhin die Vorfälle untersucht und seine Ergebnisse überprüft.
Unklar ist, wer bei Instructure für die Überwachung der Cybersicherheit verantwortlich ist. Auf Anfrage wollte das Unternehmen nicht kommentieren, ob sein CEO, Steve Daly, nach diesen Vorfällen zurücktreten wird.
Aufruf zur Informationsweitergabe
Sind Sie ein Canvas-Administrator oder eine von dem Datenleck betroffene Schule? Haben Sie eine Erpressungsforderung von den Hackern erhalten? Wir möchten von Ihnen hören. Um diesen Reporter sicher zu kontaktieren, nutzen Sie Signal unter dem Benutzernamen zackwhittaker.1337.
Aktualisiert mit einer Antwort von Instructure.
