Pemerintah AS meminta kesaksian Instruktur mengenai serangan siber Canvas yang besar-besaran

Komite Keamanan Dalam Negeri DPR AS meminta para eksekutif Instruktur untuk bersaksi tentang dua serangan siber yang dilakukan oleh kelompok pemerasan ShinyHunters yang menargetkan platform Canvas milik perusahaan tersebut, sehingga memungkinkan pelaku ancaman mencuri data siswa dan mengganggu sekolah selama ujian akhir.

Dalam surat yang dikirim Senin sore kepada CEO Instruktur Steve Daly, Ketua Komite Keamanan Dalam Negeri Andrew R. Garbarino mengatakan komite sedang menyelidiki pelanggaran besar-besaran di Instruktur yang berdampak pada jutaan siswa.

“Komite Keamanan Dalam Negeri (Komite) sedang menyelidiki laporan mengkhawatirkan terkait insiden keamanan siber baru-baru ini yang memengaruhi Instructure Holdings, Inc. dan puluhan juta pelajar, pendidik, dan administrator yang mengandalkan platform manajemen pembelajaran Canvas,” membaca surat itu.

“Dalam kurun waktu satu minggu, kelompok penjahat dunia maya yang dikenal sebagai ShinyHunters melanggar Instruktur sebanyak dua kali.”

Sebagai pertama kali dilaporkan oleh BleepingComputerInstruktur mengungkapkan pada 3 Mei bahwa mereka telah mengalami pelanggaran. Perusahaan kemudian mengkonfirmasi bahwa mereka mendeteksi penyusupan pada tanggal 29 April setelah pelaku ancaman menyusupi sistemnya dan mencuri data milik siswa dan staf sekolah menggunakan Canvas.

Itu kata perusahaan informasi yang terungkap termasuk nama, alamat email, nomor identifikasi siswa, dan pesan yang dipertukarkan antara siswa dan guru di platform. Namun, data tersebut tidak mencakup kata sandi, informasi keuangan, atau tanda pengenal pemerintah.

Pada tanggal 3 Mei, geng pemerasan ShinyHunters mengaku bertanggung jawab atas serangan tersebut, mengatakan kepada BleepingComputer bahwa mereka mencuri 280 juta catatan data dari 8.809 perguruan tinggidistrik sekolah, dan platform pendidikan online.

Pelaku ancaman membagikan daftar organisasi pendidikan yang terkena dampak, dengan jumlah catatan yang dicuri berkisar antara puluhan ribu hingga beberapa juta untuk setiap institusi.

Kelompok ShinyHunters melakukan serangan kedua yang merusak portal masuk Canvas di sekolah-sekolah dan universitas-universitas di seluruh Amerika Serikat, menampilkan pesan-pesan pemerasan yang menuntut agar Instruktur bernegosiasi dengan kelompok tersebut. Gangguan ini berdampak pada institusi di berbagai negara bagian selama ujian akhir dan kegiatan akhir semester, sehingga beberapa perguruan tinggi terpaksa membatalkan ujian.

BleepingComputer kemudian mengetahui bahwa pelaku ancaman menggunakan beberapa kerentanan skrip lintas situs (XSS). untuk mendapatkan sesi admin yang diautentikasi dan mengubah halaman portal login.

Menurut surat Komite Keamanan Dalam Negeri, sekolah-sekolah di California, Florida, Georgia, Oklahoma, Oregon, Nevada, North Carolina, Tennessee, Utah, Virginia, dan Wisconsin melaporkan gangguan yang terkait dengan insiden tersebut.

Komite juga merujuk pada pesan yang diposting oleh para penyerang yang mengklaim bahwa mereka menargetkan Instruktur lagi karena perusahaan menolak untuk bernegosiasi dengan kelompok tersebut.

Tadi malam, segera setelah ShinyHunters secara misterius menghapus Instruktur dari situs kebocoran datanya, perusahaan tersebut mengungkapkan bahwa mereka telah mencapai kesepakatan dengan ShinyHunters untuk menghentikan kebocoran publik dan memastikan data yang dicuri telah dihapus.

Meskipun perusahaan tidak secara langsung menyatakan bahwa mereka membayar uang tebusan atau secara langsung mengkonfirmasi pertanyaan BleepingComputer mengenai masalah ini melalui email, kelompok pemeras jarang setuju untuk menghapus data yang dicuri atau menghentikan kebocoran kecuali beberapa bentuk pembayaran atau kesepakatan telah tercapai.

Geng pemeras juga memperbarui situs kebocoran datanya hari ini, dengan pernyataan baru yang mengklaim bahwa data tersebut telah dimusnahkan dan sekolah tidak perlu menghubungi mereka secara mandiri untuk bernegosiasi.

Komite Keamanan Dalam Negeri mengatakan kompromi yang berulang kali menimbulkan “pertanyaan serius” mengenai kemampuan perusahaan dalam menanggapi insiden dan kewajibannya untuk melindungi data yang disimpannya dengan baik.

Komite meminta agar Instruktur atau perwakilan senior perusahaan berpartisipasi dalam pengarahan selambat-lambatnya tanggal 21 Mei untuk membahas intrusi, data yang dicuri, upaya penahanan dan pemberitahuannya, serta koordinasi dengan lembaga federal.