全国の学校や大学は、試験、コースノート、講義ビデオ、ノートを管理するオンラインプラットフォームである Canvas をダウンさせた障害から復旧しつつあります。サイバー攻撃に関連した障害は、多くの大学にとって期末学期の半ばであり、学生と教職員がプラットフォームに大きく依存するストレスの高い時期である。
木曜日遅く、Canvasの親会社Instructorは、プラットフォームが再びほとんどのユーザーに利用可能になったと発表した。
サイバーセキュリティ企業エムシソフトの脅威アナリスト、ルーク・コノリー氏によると、ハッカー集団シャイニーハンターズがこの侵害の犯行声明を出した。金曜日の時点で、Instructor と Canvas は ShinyHunters がターゲットをリストしているサイトにリストされていません。
しかし、一部の学校は、セキュリティ上の脅威を評価する際に十分な注意を払っているとして、生徒と教師の Canvas へのアクセスをブロックし続けました。
混乱について知っておくべきことは次のとおりです。
学校や大学は Canvas を使用して、指導のほぼすべての側面を管理します。このプラットフォームは、ノートブック、デジタル会議やコース教材のハブ、教室プロジェクトのディスカッション フォーラム、学生と講師間のメッセージング プラットフォームとして機能します。
一部のコースでは、プラットフォーム上でクイズや試験を提供したり、最終プロジェクトや期末レポートを提出するポータルとしてプラットフォームを使用したりすることもできます。
コノリー氏によると、シャイニーハンターズは米国と英国の10代と若いハッカーの団体で、彼らはチケットマスターへの攻撃を含む他の大規模なサイバー攻撃に関与しているとのことだ。ターゲットをリストしたページでは、このグループは自らを「19日以来システムをroot化している」と説明しており、コンピュータシステムの最深層にアクセスする用語を使っている。
今週初め、シャイニーハンターズは、学校が5月6日までに身代金を支払わなかった場合、約9,000の学校と2億7,500万人の人々のデータが漏洩する可能性があると述べた。その後同団体は期限を延長し、一部の学校が交渉に応じると約束したことを示した。
ShinyHunters ランサムウェア サイトに掲載された声明の中で、同グループはこの事件についてはコメントしないと述べた。
学生、教職員に関する個人を特定できる情報が豊富にある学校や大学は、犯罪ハッカーによるランサムウェア攻撃の主な標的となっています。ターゲットは、ミネアポリス公立学校やロサンゼルス統一学区などの個別の学区、または教育システムがスケジュール、コース、試験を管理するためにますます依存している Canvas や PowerSchool などのサードパーティ プラットフォームです。
ほとんどの学校では Canvas へのアクセスが回復したようですが、最終学期の中断は今週を通して発生する可能性があります。
マサチューセッツ大学ダートマス校は、閉鎖中にアクセスできないコース教材を学生が復習する時間を確保するため、金曜日と土曜日に予定されていた試験を延期すると発表した。
イリノイ大学は、コースでCanvasを使用したかどうかに関係なく、すべてのクラスについて金曜日、土曜日、または日曜日に予定されていたすべての試験を延期しました。
また、メリーランド州モンゴメリー郡公立学校は金曜日、「事件の全影響と、プラットフォームに関連する情報に関連する潜在的な脆弱性をよりよく理解するために取り組んでいる間」十分な警戒を理由に、キャンバスへのアクセスを制限し続けた。
インストラクチャの最高情報セキュリティ責任者であるスティーブ・プラウド氏は、データ侵害には学生ID番号、電子メールアドレス、名前、Canvasプラットフォーム上のメッセージが関与しているようだと、5月2日に共有された最新情報で述べた。同氏は、同社はパスワード、生年月日、政府ID、または財務情報が侵害されたという証拠は見つからなかったと述べた。
Canvas はオンラインに戻っていますが、サイバーセキュリティの専門家は影響を受ける学生や教職員に対し、引き続き警戒するよう呼び掛けています。
他の悪意のある攻撃者は、追加のフィッシング攻撃を通じて侵害の結果を利用しようとする可能性があります。 National Cybersecurity Alliance の情報セキュリティおよびエンゲージメント担当ディレクターの Cliff Steinhauer 氏は、例えば学区を装った何者かが、ユーザーに Canvas のパスワードをリセットするよう求める悪意のあるメッセージを送信する可能性があると警告しています。
スタインハウアー氏は、「特に緊急の対応が必要な場合は、受信メッセージを非常に疑ってください」と述べた。
専門家らは、大規模な侵害は消費者に「サイバー衛生」のベストプラクティス全般を見直す重要な思い出となると強調する。
基本には、推測しにくいパスワードを作成すること、可能な場合は多要素認証を使用すること、オンライン アカウントに不審なアクティビティがないか監視することが含まれます。さらに、連邦取引委員会は、Equifax、Experian、TransUnion などの全国的な信用調査機関が、個人情報の盗難やその他の悪意のある攻撃から身を守るために消費者が設定できる無料の信用凍結と詐欺アラートを提供していると指摘しています。
___
AP通信の教育報道は、いくつかの民間財団から資金援助を受けています。 AP はすべてのコンテンツに対して単独で責任を負います。慈善活動と協力するための AP の基準、サポーターのリスト、および資金提供を受けた対象エリアについては、AP.org でご覧ください。
