Канадських студентів поінформували про завершену справу щодо викрадених персональних даних

Канадських студентів поінформували про завершену справу щодо викрадених персональних даних.

Компанія Instructure, яка керує освітньою платформою Canvas, повідомила, що уклала угоду з групою зловмисників, які взяли на себе відповідальність за масштабну кібератаку на сервіс. Через інцидент постраждали університети по всьому світу, зокрема в Канаді.

Як повідомляє CBC News, пізно ввечері в понеділок Instructure опублікувала оновлення: компанія заявила, що досягла домовленості з «неавторизованим учасником», пов’язаним із витоком. За словами Instructure, викрадені дані було повернуто, а також отримано цифрове підтвердження того, що копії інформації знищено — із наданням так званих shred logs.

У компанії підкреслили, що отримали запевнення: жоден клієнт не стане об’єктом вимагання «внаслідок цього інциденту — публічно або іншим чином». Окремо Instructure попросила клієнтів не намагатися виходити на зв’язок із «неавторизованим учасником» самостійно.

Умови угоди Instructure розкривати не стала, зокрема, компанія не уточнила, чи передбачала домовленість будь-яку оплату.

Відповідальність за атаку минулого тижня майже одразу взяло на себе угруповання ShinyHunters. Раніше його пов’язували з витоками даних Ticketmaster і базою Salesforce, пов’язаною з Google. Instructure стверджує, що зловмисники погрожували опублікувати викрадену інформацію — повні імена, адреси електронної пошти, студентські номери та особисті повідомлення — якщо не отримають неназвану суму.

Представник ShinyHunters у листуванні з Reuters заявив, що «дані видалені, їх більше немає», а компанія та її клієнти більше не будуть ціллю і не отримають нових вимог щодо виплат. На запитання про деталі угоди він відповідати відмовився.

Canvas — один із найпоширеніших сервісів управління навчальним процесом. Викладачі розміщують там матеріали курсів, медіафайли та іспити, спілкуються зі студентами й виставляють оцінки; у деяких вишах через платформу також здають завдання. Серед канадських користувачів Canvas називають Університет Альберти, Університет Торонто та Університет Британської Колумбії.

Оттавський аналітик з питань загроз із Emsisoft Люк Конноллі в розмові з CBC News підкреслив: викуп після витоків платити не варто — це заохочує злочинців шукати нових жертв і фінансує розвиток нових методів атак. Він нагадав, що після кібератаки на PowerSchool на початку 2025 року, яка зачепила шкільні ради K-12 у Канаді та за її межами, через кілька місяців пішли спроби вимагання вже в окремих шкільних рад — після початкової вимоги до материнської компанії.

Голова Beauceron Security з Фредериктона Девід Шиплі також зазначив, що організації після таких атак опиняються перед «жахливим вибором», але платити викуп, за його словами, наполегливо не слід. При цьому він додав, що Instructure у цій історії — жертва, однак «зрештою була зберігачем цих даних і несла відповідальність за їхній захист».

Instructure визнала, що ситуація залишається невизначеною та «тривожною», але заявила, що захист спільноти користувачів — головний пріоритет компанії. Судово-технічний аналіз триває за участю фахівців; Instructure пообіцяла регулярно публікувати оновлення в міру появи нових результатів.