Canvas-angreb: Instructure betalte hackerne

Instructure betalte sig ud af Canvas-krisen, men det sværeste spørgsmål står tilbage

Efter sidste uges angreb på læringsplatformen Canvas har Instructure nu bekræftet, at selskabet indgik en aftale med hackerne bag bruddet. Ifølge virksomheden er de stjålne data blevet returneret, og der er modtaget en digital bekræftelse på, at materialet er slettet. Det ændrer sagens karakter markant. Det er ikke længere kun en historie om nedbrud midt i eksamensperioden, men om et softwarefirma, der i praksis valgte at forhandle med cyberkriminelle. ^[1]

New York City-området, USA – et eksempel på den amerikanske del af Canvas-bruddet

Maps

Det er usædvanligt, især i en sag med denne rækkevidde. Canvas bruges af tusindvis af uddannelsesinstitutioner og over 30 millioner aktive brugere, og angrebet ramte universiteter og colleges i USA, Canada, Storbritannien og Australien. I de første døgn var fokus på aflyste prøver, utilgængelige kursusrum og kaos omkring aflevering af opgaver. Nu er fokus rykket til noget mere grundlæggende: hvad der blev stjålet, og om nogen realistisk kan vide, at det faktisk er væk. ^{[2] [3]}

Hvad Instructure siger at have opnået

Virksomheden oplyser, at aftalen indebærer fire ting: data er leveret tilbage, der er givet en digital bekræftelse på sletning, kunderne ikke vil blive afpresset individuelt som følge af hændelsen, og de berørte institutioner ikke selv skal gå i dialog med angriberne. ^[4]

Det mest opsigtsvækkende er ikke formuleringen, men begrænsningen i den. Instructure siger ikke, at man med sikkerhed ved, at kopierne er slettet. Man siger i stedet, at man tog alle skridt inden for egen kontrol for at give kunderne mere ro. Det er et bemærkelsesværdigt forsvar, fordi det samtidig indrømmer sagens kerne: der findes ingen fuld garanti, når modparten er en kriminel gruppe.

London-området, Storbritannien – viser den britiske del af angrebet og potentielt berørte universiteter

Maps

Det flugter med erfaringerne fra tidligere ransomware- og afpresningssager. Myndigheder har gentagne gange advaret om, at betaling kan finansiere nye angreb, og at løfter om sletning ikke nødvendigvis er noget værd. Da LockBit-gruppen senere selv blev kompromitteret af efterforskere, viste interne data, at stjålne filer i flere tilfælde ikke var blevet slettet, selv efter betaling.

Det vi ved om bruddet, og det vi stadig ikke ved

Tidslinjen er stadig fragmenteret. Instructure har oplyst, at bruddet blev opdaget 29. april. Få dage senere dukkede en løsesumsbesked op på ramte skolers hjemmesider med beskeden "pay or leak", og den velkendte gruppe ShinyHunters tog ansvaret online. FBI aktiverede ressourcer i flere delstater og bad institutioner afvente officiel vejledning, samtidig med at man advarede mod opportunistiske svindlere. ^{[5] [6]}

Der cirkulerer fortsat høje tal for omfanget. Trusselsaktører og sikkerhedsrapporter har nævnt omkring 3,5 til 3,65 terabyte data. Det tal er ikke offentligt dokumenteret i detaljer, og der findes endnu ikke en uafhængig teknisk redegørelse, som viser præcist, hvordan mængden er opgjort. Men det er nok til at illustrere, hvorfor sagen er mere end et driftsuheld. ^[7]

Hvilke data der kan være taget

Det samlede billede peger på, at angriberne fik adgang til oplysninger om studerende, undervisere og administrativt personale. Flere rapporter nævner navne, e-mailadresser, studienumre og interne beskeder som sandsynligt kompromitterede datatyper. Til gengæld er der indtil videre ikke noget, der tyder på, at adgangskoder, fødselsdatoer, offentlige identifikationsnumre eller finansielle data udgør hovedparten af bruddet. ^{[4] [8]}

Angrebsvejen er stadig uklar

Det gør det sværere for kunderne at vurdere deres egen risiko. Når leverandøren ikke kan forklare indgangen, er det også uklart, om problemet er lukket strukturelt eller kun midlertidigt inddæmmet.

Betaling er ikke forbudt, men den er juridisk risikabel

Sagen rammer også universiteternes egen styring

Canvas-angrebet viser et gammelt problem i ny skala. Universiteter har centraliseret undervisning, kommunikation, aflevering og bedømmelse i få platforme. Det giver effektiv drift i hverdagen, men også ét kritisk fejlpunkt i krisen.

Bundlinjen

Instructure har sandsynligvis købt sig til ro, ikke til vished. Det kan vise sig at have begrænset skadevirkningerne for millioner af brugere. Det kan også vise sig at være en dyr illusion.

Det afgørende næste skridt er derfor ikke flere forsikringer om, at der foreligger en "digital bekræftelse" på sletning. Det er en troværdig teknisk redegørelse for, hvordan angrebet skete, hvad der præcist blev taget, og hvorfor kunderne skal tro, at samme situation ikke opstår igen. Uden den er betalingen kun den hurtige del af historien. Ikke den afsluttende.