Scholen onderhandelen met hackers na Canvas-datalek

Onderwijsinstellingen in de Verenigde Staten proberen rechtstreeks te onderhandelen met hackersgroep ShinyHunters nadat leerplatform Canvas werd getroffen door een grootschalige cyberaanval.

Volgens Reuters en beveiligingssite KrebsOnSecurity hebben sommige scholen inmiddels contact opgenomen met de aanvallers om te voorkomen dat gestolen gegevens openbaar worden gemaakt.

De aanval richt zich op Canvas, het veelgebruikte digitale leerplatform van softwarebedrijf Instructure. ShinyHunters claimt ongeveer 6,65 terabyte aan data te hebben buitgemaakt van bijna 9.000 scholen en universiteiten wereldwijd. Volgens KrebsOnSecurity gaat het mogelijk om gegevens van circa 275 miljoen studenten, docenten en medewerkers.

De gestolen informatie zou bestaan uit namen, e-mailadressen, studentnummers en privécommunicatie binnen het platform. De hackers stellen daarnaast miljarden berichten tussen studenten en docenten in handen te hebben. Instructure zegt vooralsnog geen aanwijzingen te hebben dat wachtwoorden, financiële gegevens, geboortedata of officiële identificatienummers zijn buitgemaakt.

Aanval midden in examenperiode

De impact van het incident werd vorige week zichtbaar toen studenten en medewerkers bij het inloggen op Canvas plotseling een afpersingsbericht van ShinyHunters te zien kregen. De hackers hadden tijdelijk de normale loginpagina vervangen door een boodschap waarin scholen werden opgeroepen zelf contact op te nemen voor onderhandelingen.

Volgens KrebsOnSecurity gebeurde dat op een uiterst gevoelig moment. Veel scholen en universiteiten zitten momenteel midden in tentamenweken en afrondende opdrachten, waardoor verstoringen direct gevolgen hebben voor lessen, deadlines en examens.

Instructure haalde Canvas, Canvas Beta en Canvas Test daarop tijdelijk offline. De reguliere omgeving kwam enkele uren later weer beschikbaar, terwijl de test- en betaomgevingen voorlopig beperkt toegankelijk blijven.

ShinyHunters publiceerde eerder een lijst met ongeveer 1.400 getroffen scholen en districten en stelde dat instellingen zelfstandig konden onderhandelen om publicatie van hun data te voorkomen, ongeacht of Instructure zelf zou betalen.

Deadline verschoven

De oorspronkelijke deadline voor betaling stond volgens de hackers op 6 mei, maar werd later verschoven naar 12 mei. Dat voedt speculatie dat gesprekken of onderhandelingen gaande zijn. Volgens bronnen van KrebsOnSecurity hebben meerdere universiteiten inmiddels daadwerkelijk contact gezocht met de groep.

Opvallend genoeg verdwenen ook de verwijzingen naar Instructure later van de afpersingswebsite van ShinyHunters. In de ransomwarewereld gebeurt dat vaak wanneer een slachtoffer betaalt of onderhandelingen plaatsvinden, al is daarvoor geen bevestiging.

Instructure meldde begin mei dat het incident was ingedamd en dat er geen aanwijzingen waren voor voortdurende ongeautoriseerde activiteit. Toch konden hackers enkele dagen later opnieuw zichtbaar ingrijpen door de Canvas-loginpagina aan te passen.

Volgens Instructure maakten de aanvallers misbruik van een probleem binnen Free-for-Teacher, een omgeving waarmee gebruikers delen van Canvas zonder volledige onderwijslicentie kunnen testen. Het bedrijf heeft die dienst tijdelijk uitgeschakeld.