Уроки кибератаки на Canvas: как защитить данные

Кибератака на Canvas: кто, что, когда и как?

Что и когда?

6 и 7 мая 2026 года пользователям системы управления обучением (LMS) Canvas вместо ожидаемой страницы входа была показана измененная веб-страница. На измененной странице отображалось предупреждение от преступной хакерской группы вымогателей ShinyHunters о компрометации Instructure. Instructure, ведущая компания в области образовательных технологий со штаб-квартирой в Солт-Лейк-Сити, штат Юта, была основана в 2008 году, а ее Canvas LMS запущена в 2011 году. В предупреждении ShinyHunters установила для Instructure крайний срок — 12 мая 2026 года — для связи и обсуждения условий выкупа, чтобы предотвратить раскрытие данных Canvas.

Еще 1 мая 2026 года ShinyHunters взяла на себя ответственность за атаку на Instructure/Canvas, которая, по сообщениям, затронула почти 9000 учебных заведений по всему миру и раскрыла конфиденциальную информацию, связанную с 275 миллионами студентов, преподавателей и сотрудников. Были украдены имена, адреса электронной почты, идентификаторы студентов и частная переписка общим объемом ошеломляющие 3,65 терабайта. Время атаки было особенно разрушительным, поскольку она вызвала широкомасштабные операционные сбои во время выпускных экзаменов и временно заблокировала доступ к учебным материалам, заданиям и системам совместной работы в колледжах и университетах по всему миру.

Кто?

Считается, что название преступной хакерской группы ShinyHunters происходит от редкого персонажа видеоигры Shiny Pokémon. Этот персонаж является частью франшизы видеоигр Pokémon, где покемоны появляются в альтернативной цветовой схеме и демонстрируют специальную анимацию блеска при вступлении в бой. Игроков, которые пытаются собрать дефицитных Shiny Pokémon с помощью внутриигровых стратегий, часто называют «охотниками за блестящими» (shiny hunters).

Ransomware.live, бесплатный и независимый веб-сайт, постоянно обновляет свою платформу разведки угроз и отслеживает группы вымогателей и их жертв. Их статистика по злонамеренной деятельности ShinyHunters выявляет ошеломляющие цифры. Начиная с 2020 года, ShinyHunters успешно скомпрометировали 104 жертвы в 14 странах и украли триллионы записей. Из 104 жертв в списке 73 находятся в Соединенных Штатах и включают несколько громких имен: Microsoft, Ticketmaster, Google, Cisco Systems, 7-Eleven, CarMax, Amtrak, McDonald’s, Disney/Hulu, Princeton, Harvard и Университет Пенсильвании. AT&T Wireless подвергалась компрометации более одного раза, как и Instructure.

Атака на Instructure/Canvas представляет собой нечто большее, чем просто изолированный технологический сбой — это демонстрация на высоком уровне того, как централизованные цифровые экосистемы, сторонние зависимости и современные операции по вымогательству меняют корпоративный киберриск. Хотя атака в основном затронула сектор образования, уроки, извлеченные из инцидента, применимы непосредственно к CISO, советам директоров, руководителям по управлению рисками и исполнительным командам во всех отраслях.

Как?

Конкретные технические детали о том, как был скомпрометирован Canvas, скудны. Однако на странице Instructure’s Security Incident & Update компания выявила уязвимость в своих тикетах поддержки в среде Free for Teacher, которая была использована злоумышленниками. После атаки Canvas временно отключила сервис Free for Teacher, пока они проводят полную проверку безопасности. Free for Teacher — это автономная бесплатная версия Canvas LMS, позволяющая учителям создавать интерактивные занятия и управлять учениками независимо, даже если их школа не использует Canvas.

Злоумышленники нацеливаются на среды с более низким уровнем безопасности, устаревшие системы, порталы поддержки, тестовую инфраструктуру, API-интеграции и менее контролируемые внешние сервисы, поскольку они часто обладают более слабым контролем, чем основные производственные среды. Организации часто вкладывают значительные средства в защиту своей основной клиентской инфраструктуры, недооценивая при этом риски, связанные с экосистемами поддержки, платформами разработки и вспомогательными сервисами.

Извлеченные уроки

Зависимость от сторонних облачных платформ, агрегирующих огромные объемы конфиденциальных данных

Образовательные учреждения все больше полагаются на цифровые экосистемы не только для управления обучением, но и для коммуникации, выставления оценок, управления идентификацией, планирования и операционной непрерывности. Аналогичные зависимости существуют и в частном секторе. Современные предприятия все чаще централизуют операционные рабочие процессы в облачных поставщиках программного обеспечения как услуги (SaaS), создавая концентрированное подверженность риску. Когда эти платформы выходят из строя, последствия быстро распространяются каскадом.

Я недавно спросил одну преподавательницу, чей университет пострадал от инцидента, как это на нее повлияло. Она ответила, что влияние было несколько незначительным, поскольку она хранит всю информацию о своих занятиях и студентах локально в электронных таблицах и аналогичных офлайн-форматах.

CISO должны пересмотреть подход к оценке рисков поставщиков. Исторически многие программы управления рисками сторонних поставщиков уделяли большое внимание артефактам соответствия, таким как отчеты SOC, сертификаты ISO, сводки результатов тестирования на проникновение и ответы на основе опросников. Хотя они по-прежнему полезны, инцидент с Canvas демонстрирует, что одних только таких мер контроля не гарантирует операционной безопасности и устойчивости. Организации должны начать оценивать поставщиков не только по превентивным мерам безопасности, но и по зрелости их реагирования на инциденты, возможностям кризисных коммуникаций, архитектурной устойчивости, стратегиям сегментации данных, срокам восстановления и прозрачности на уровне руководства.

Когда я исследовал Instructure для этой статьи, я нашел впечатляющий веб-сайт — Instructure Trust Center. На сайте отображаются одиннадцать «значков» соответствия — SOC 2 Type 2, SOC 3, PCI, ISO 27001, GDPR и т. д. Сайт также предоставляет доступ к 74 документам, подтверждающим соответствие, и 57 пунктам часто задаваемых вопросов. Чтобы проиллюстрировать предыдущий тезис о том, что организации фокусируются на основных продуктах, а не на рисках, связанных со вторичными продуктами и услугами, я получил доступ и просмотрел сертификат ISO 27001 компании Instructure, который действителен и истекает 15 октября 2027 года.

В сертификате указано, что «Область действия данного сертификата ISO/IEC 27001:2022 включает продукты, команды и ISMS Instructure, управляемые в ее штаб-квартире в Солт-Лейк-Сити, штат Юта, США. Лица, процессы, технологии и местоположения, входящие в область действия, определены в Области действия Системы управления информационной безопасностью (ISMS) Instructure от 1 августа 2025 года и Заявлении о применимости от 16 апреля 2025 года. Область действия ISMS, внедренной Instructure, включает следующие элементы:

• Продукты: Canvas, Studio, Mastery Connect, Impact, Parchment Award, Parchment Pathways, Parchment.
• Услуги:  Parchment Digitary Services (MyEquals и MyCreds), Intelligent Insights, Elevate Standards

Обратите внимание, что список продуктов Instructure, включенных в оценку ISO 27001, не включает Free for Teachers.

Управление коммуникациями

После компрометации Instructure отключила измененную веб-страницу и вывела страницу состояния, в которой инцидент назывался «плановым техническим обслуживанием». Затем на следующий день официальные лица Instructure заявили, что инцидент взят под контроль, хотя это был как минимум третий случай за последние восемь месяцев, когда Instructure подвергалась взлому со стороны ShinyHunters.

Публичные сообщения свидетельствовали о путанице относительно сроков, масштаба и характера компрометации. Сообщалось, что некоторым учреждениям было трудно определить, были ли скомпрометированы их локальные среды напрямую или же утечка была изолирована на платформе поставщика.

Для руководящих команд это подтверждает важнейший урок: киберинциденты — это в равной степени коммуникационные кризисы, как и технические события. Организации, которые наиболее успешно справляются с крупными киберинцидентами, часто являются теми, кто способен предоставлять четкие, прозрачные и заслуживающие доверия сообщения на ранних этапах реагирования.

Задержка или неполнота информации во время кризиса часто усугубляет репутационный ущерб, поскольку заинтересованные стороны начинают заполнять информационные вакуумы домыслами и недоверием.

Экономика атак

Советы директоров также должны обратить внимание на стратегические последствия, связанные с экономикой программ-вымогателей и вымогательства. Хотя публичные детали остаются неполными, многочисленные сообщения свидетельствовали о том, что между поставщиком и злоумышленниками могли вестись переговоры или заключаться соглашения о выкупе. Это отражает более широкую тенденцию, с которой сталкиваются предприятия во всем мире. Программы-вымогатели эволюционировали от операционных сбоев до многомерных кампаний по вымогательству, включающих кражу данных, репутационное давление, угрозы публичного раскрытия информации и рычаги воздействия через прерывание бизнеса.

Обеспечение непрерывности бизнеса и восстановление

Руководители должны понимать, что планирование устойчивости не может фокусироваться исключительно на технических показателях восстановления. Стратегии обеспечения непрерывности бизнеса должны включать риски, связанные с операционным таймингом, сценарии эскалации репутационного ущерба, управление коммуникациями, регуляторное воздействие и рамки принятия решений на уровне руководства в отношении событий вымогательства. Организации часто недооценивают, как быстро киберинциденты перерастают в общекорпоративные кризисные ситуации, требующие координации на юридическом уровне, уровне связей с общественностью, соответствия требованиям, страхования и на уровне совета директоров.

Минимизация данных

Многие организации продолжают накапливать огромные объемы исторических данных, не оценивая должным образом, остается ли долгосрочное хранение операционно необходимым. Чем больше централизованное хранилище данных, тем более привлекательной становится среда для злоумышленников, ориентированных на вымогательство. Учреждения здравоохранения и образования особенно уязвимы, поскольку поддерживающие системы управления данными часто содержат многолетнюю переписку, учебные материалы, поведенческие данные, информацию об успеваемости и записи об идентификации. Таким образом, управление хранением данных должно стать стратегической дискуссией на уровне совета директоров, а не чисто операционным вопросом управления записями.

Долгосрочные последствия и риски вторичных взломов

Часто упускаемый из виду аспект инцидентов с выкупом/эксфильтрацией данных — это потенциальное долгосрочное воздействие, связанное с раскрытием данных переписки. Даже когда пароли или финансовая информация, по сообщениям, не пострадали, крупномасштабное раскрытие метаданных переписки, институциональных связей и личных идентификаторов создает значительный риск для дальнейших последствий. Злоумышленники могут использовать такую информацию для будущих фишинговых кампаний, операций социальной инженерии, сбора учетных данных и мошенничества с личными данными. Руководители по кибербезопасности должны мыслить за пределами немедленного сдерживания и оценивать, как украденная информация может подпитывать будущие атаки через месяцы или даже годы.

Что дальше?

В письме от 11 мая 2026 года конгрессмен США Эндрю Р. Гарбарино, председатель Комитета по внутренней безопасности, просил Стива Дейли, генерального директора Instructure Holdings, Inc., принять участие в брифинге с Комитетом, который должен быть назначен в удобное для обеих сторон время не позднее четверга, 21 мая 2026 года.

Следите за обновлениями!

Эта статья опубликована в рамках сети экспертных авторов Foundry Expert Contributor Network.
Хотите присоединиться?