米政府、キャンバスの大規模サイバー攻撃についてインストラクチャーの証言を求める

米下院国土安全保障委員会は、同社のキャンバス・プラットフォームを標的とした恐喝グループ「シャイニーハンターズ」による2件のサイバー攻撃について証言するようインストラクチャー社幹部に求めている。

国土安全保障委員会のアンドリュー・R・ガルバリノ委員長は、月曜日の午後にInstructureのスティーブ・デイリーCEOに送った書簡の中で、委員会は数百万人の学生に影響を与えるInstructureの大規模な侵害を調査していると述べた。

「国土安全保障委員会（委員会）は、Instructure Holdings, Inc.および同社のCanvas学習管理プラットフォームに依存している数千万の学生、教育者、管理者に影響を与えた最近のサイバーセキュリティ事件に関する報告について調査している。

“1週間のうちに、ShinyHuntersとして知られるサイバー犯罪グループが、Instructureに2度侵入しました”

最初に報道された ように、Instructureは5月3日に侵入被害を受けたことを明らかにした。同社はその後、脅威者が同社のシステムに侵入し、キャンバスを使用している学生や学校職員のデータを盗んだ後、4月29日に侵入を検出したことを確認した。

同社によると、流出した情報には、氏名、電子メールアドレス、生徒識別番号、同プラットフォーム上で生徒と教師がやり取りしたメッセージなどが含まれていた。しかし、データにはパスワード、財務情報、政府機関の識別情報は含まれていなかった。

5月3日、恐喝集団ShinyHuntersはこの攻撃の責任を主張し、8,809の大学、学区、オンライン教育プラットフォームから2億8,000万件のデータレコードを盗んだと伝えた。

脅威の主体は、影響を受けた教育機関のリストを共有し、盗まれたレコードの数は各機関で数万から数百万に及んだ。

ShinyHunters グループは2 度目の攻撃を行い、全米の学校や大学のCanvas ログインポータルを改ざんし、Instructure にグループとの交渉を要求する恐喝メッセージを表示させました。この混乱は、期末試験や学期末の活動中に複数の州の教育機関に影響を与え、一部の大学は試験の中止を余儀なくされた。

後に判明したところによると、脅威行為者は複数のクロスサイトスクリプティング（XSS）の脆弱性を利用して、認証された管理者セッションを取得し、ログインポータルページを改ざんした。

国土安全保障委員会の書簡によると、カリフォルニア州、フロリダ州、ジョージア州、オクラホマ州、オレゴン州、ネバダ州、ノースカロライナ州、テネシー州、ユタ州、バージニア州、ウィスコンシン州の学校から、この事件に関連した混乱が報告された。

委員会はまた、同社がグループとの交渉を拒否したため、再びInstructureを標的にしたと主張する攻撃者が投稿したメッセージにも言及した。

昨夜、ShinyHuntersがデータ流出サイトからInstructureを謎の方法で削除した直後、同社はShinyHuntersと公開流出を止め、盗まれたデータを確実に削除することで合意に達したことを明らかにした。

同社は身代金を支払ったことを明言したり、電子メールでこの件に関する’sの質問を直接確認したりはしなかったが、恐喝グループが何らかの支払いや合意に達しない限り、盗まれたデータの削除や流出の停止に同意することはめったにない。

また、恐喝グループは今日、データ流出サイトを更新し、データは破壊され、学校は交渉のために独自に連絡する必要はないと主張する新しい声明を発表した。

「LMS会社の最近の状況について、私たちは何も付け加えることはありません。もしあなたが影響を受けた教育機関であれば、私たちはあなたの金銭を要求していません。この問題は解決されました。

「当社とその顧客は、これ以上ターゲットにされたり、支払いのために連絡されたりすることはありません。データは存在しません。”

国土安全保障委員会は、度重なる漏洩は、同社のインシデント対応能力と、保存しているデータを適切に保護する義務について「深刻な疑問」を投げかけていると述べた。

同委員会は、インストラクチャー社または同社の上級代表が5月21日までにブリーフィングに参加し、両社の侵入、盗まれたデータ、封じ込めと通知の取り組み、連邦政府機関との連携について話し合うよう求めている。