9000以上の教育機関を狙ったCanvas攻撃、ハッカー集団が「データ削除」に合意

　学生たちにようやく朗報が届いた。学習管理システム「Canvas」を運営するInstructureによると、ハッキングで盗まれた個人データは保全されたという。

提供：CFOTO/Future Publishing/Getty Images
※クリックすると拡大画像が見られます

　同社はハッカー集団ShinyHuntersと合意に達し、不正に複製されたユーザーデータを破棄させるとともに、Canvasの顧客に対する恐喝を防いだと明らかにした。この合意に身代金の支払いが含まれるかどうかは不明だ。盗まれたデータには、「ユーザー名、メールアドレス、コース名、受講登録情報、メッセージなど」が含まれていた。

　Instructureは、「サイバー犯罪者を相手にする以上、完全に確実とは言えない」としつつも、ハッカー側が盗んだデータを削除したことを示すデジタルな確認情報（消去ログ）を受け取ったとしている。

　Instructureは、影響を受けたCanvasユーザーに対し、ShinyHuntersへ個別に接触したり取引したりしないよう警告した。同社によれば、この合意は「影響を受けたInstructureの全顧客」を対象としているという。

　このハッカー集団は4月29日、「Free-For-Teacher」アカウントに関連するセキュリティー欠陥を悪用し、Canvasのシステムへ侵入。これにより、学生や教育関係者にひも付く個人情報を不正に収集した。

　正確に何件の教育機関が影響を受けたのかは不明だが、ハッカー側は9000を超える大学と公立学区を標的にしたと主張していた。Canvasは幼稚園から高校までの教育機関でも使われているため、この侵害によって未成年の学生に関する機微な情報が露出した可能性が高い。

　事態がさらに悪化したのは5月7日だ。ハッカーはInstructureの防御を再び突破し、Canvasにサインインしようとした人なら誰でも目にする、不正行為のメッセージを残した。Instructureは直ちにCanvasをメンテナンスモードに切り替え、その間、学生はサービスを利用できなかった。

　ShinyHuntersは身代金目的のハッカー集団として広く知られている。4月にはAnodotのシステムに侵入し、Rockstar Gamesの業務データの一部を窃取した。

　これまでの標的の多くはMicrosoft、Cisco、AT＆Tのような大手テクノロジー企業だったが、保険会社や信用組合のほか、機微なデータを扱うさまざまな組織から情報を身代金目的で奪ったこともある。

　Canvasは現在稼働中だが、Free-For-Teacherアカウントは一時的に無効化されている。Instructureが、侵害に使われた手口の調査を続けているためだ。

　Instructureは顧客に対し、自らのアカウントを注視するよう推奨している。同社の外部フォレンジックパートナーによると「脅威アクターが現在も同プラットフォームにアクセスできていることを示す証拠は見つかっていない」という。

　Instructureの広報担当者は、コメントの要請にすぐには応じなかった。