Instructure, popüler okul bilgi portalı Canvas’ın üreticisi, sistemlerine iki kez sızan, büyük miktarda öğrenci ve personel verisini çalan ve binlerce okulu etkileyen hackerlarla “bir anlaşmaya vardığını” açıkladı.
Mali motivasyonları olan siber suç grubu ShinyHunters, 29 Nisan’daki veri ihlalinin sorumluluğunu üstlenerek, toplam 275 milyon kişinin kişisel bilgilerini içeren öğrenci ve personel verilerini çaldıklarını iddia etti. Hackerlar, yaklaşık 9,000 okulun öğrencilerin verilerini ve derslerini yönettiği Canvas platformuna sızdıklarını belirtti.
Hackerlar, geçtiğimiz hafta şirketin sistemine ikinci kez sızarak, okul web sitelerindeki Canvas giriş sayfalarını güncelleyerek şirketi fidye ödemeye zorlamaya çalıştılar.
Instructure, yaptığı açıklamada, anlaşmanın bir parçası olarak hackerların, çalınan verilerin silindiğine dair kanıt sunduğunu ve Canvas müşterilerinin daha fazla zorbalığa maruz kalmayacağını bildirdi.
Şirket, siber suçlularla müzakere ederken “tam bir kesinlik olmadığını” kabul ederken, müşterilerin hackerlarla doğrudan iletişimde bulunmamaları gerektiğine dikkat çekti.
Anlaşmanın mali şartları açıklanmadı ve Instructure, hackerlara ne kadar ödendiğini söylemedi. Instructure sözcüsü Brian Watkins, yaptığı açıklamada yorum talebine yanıt vermedi.
TechCrunch tarafından görülen bir sızdırma sitesindeki gönderide, ShinyHunters, Instructure’dan fidye ödenmemesi halinde çaldıkları verileri yayımlamakla tehdit etti.
Salı günü itibarıyla, ilan ShinyHunters sayfasından kaldırılmıştı, bu da bir fidye ödemesi yapılmış olabileceğini gösteriyor.
ShinyHunters’tan bir temsilci, “Veri silindi, yok oldu. Şirket ve müşterileri artık bizim tarafımızdan hedef alınmayacak veya ödeme talebinde bulunulmayacak.” dedi.
Instructure’ın neden hackerlara ödeme yaptığı belirsiz. ABD de dahil olmak üzere hükümetler, siber suç mağdurlarına hackerlara fidye ödememeleri konusunda uzun süredir çağrıda bulunuyor, çünkü bu durum siber suçluların saldırılarından kâr elde etmesine yardımcı oluyor. Güvenlik araştırmacıları, mağdurların kötü niyetli hackerların sözüne güvenemeyeceğini savunuyor—bazı siber suçlular, verilerin silindiğini söyleseler bile çalınan verileri saklayarak mağdurlarını zorlamaya devam etmişlerdir.
Instructure’daki hack, 2024 yılında 70 milyon öğrenci ve personeli etkileyen PowerSchool’a yapılan büyük bir veri ihlalini anımsatıyor. Okul bilgi yazılımı üreten PowerSchool, çalınan verileri geri almak için hackerlara ödeme yapmıştı; ancak daha sonra, çalınan verilerin imha edilmediğini gösteren başka bir suç grubu tarafından birkaç müşterisi zorlandı.
FBI, geçen hafta yaptığı bir açıklamada, tüm ABD’deki okulları ve eğitim kurumlarını etkileyen sistem kesintisinin “farkında olduğunu” duyurdu. Bildirim, Canvas’tan bahsetmedi, ancak mağdurlara siber suçluların taleplerine yanıt vermemeleri gerektiğini belirtti.
Instructure’dan çalınan veriler, TechCrunch’ın gördüğü bazı bilgileri içeriyor; bu veriler arasında öğrencilerin isimleri, kişisel e-posta adresleri ve öğretmenler ile öğrenciler arasında geçen mesajlar yer almakta, bu mesajlar özel ve kişisel bilgiler içermektedir.
Instructure, web sitesinde hackerların yıl içinde iki kez şirketin sistemlerine sızdığını kabul ederken, her iki ihlalin farklı sistemlerin dahil olduğu “ayrı olaylar” olduğunu belirtti.
Şirket, ihlali incelemeye ve bulgularını doğrulamaya devam ettiğini açıkladı.
Instructure’da siber güvenlikten sorumlu olan kişinin kim olduğu belirsiz; şirketin CEO’su Steve Daly dışında kimsenin bu alandan sorumlu olduğu açık değil. TechCrunch’a yapılan açıklamada, Daly’nin veri ihlalleri sonrasında istifa etmeyi düşünüp düşünmediği belirtilmedi.
Bir Canvas yöneticisi misiniz ya da ihlalle ilgili bilgi aldınız mı? Hackerlardan fidye talebi aldınız mı? Görüşlerinizi duymak istiyoruz.
Makalelerimizdeki bağlantılar üzerinden satın alma yaptığınızda, küçük bir komisyon kazanabiliriz. Bu, editoryal bağımsızlığımızı etkilemez.
