Instructure 與兩度入侵其系統的駭客達成協議
Instructure 在資料外洩後與駭客達成協議
廣泛使用的校務資訊入口網站 Canvas 背後公司 Instructure 週二宣布，已與兩度入侵其系統的網路犯罪分子「達成協議」。這些攻擊導致大量學生與教職員資料遭竊，並使數千所仰賴 Canvas 軟體的學校運作受到干擾。
資料外洩事件與涉案駭客
以牟利為目的的網路犯罪集團 ShinyHunters 聲稱對 4 月 29 日的資料外洩事件負責。該集團表示已竊取 2.75 億人的個人資訊，其中包括學生與教職員。Canvas 被近 9,000 所學校用於管理學生資料與課程作業，是此次攻擊的主要目標。
上週，ShinyHunters 發動第二次入侵，竄改學校網站上的 Canvas 登入頁面，以施壓 Instructure 支付贖金。
協議及其影響
Instructure 週一深夜在事件頁面上披露，作為協議的一部分，駭客已提供證據，證明遭竊資料已被銷毀。該公司也保證，Canvas 客戶不會再遭到駭客勒索。
雖然該公司坦承，與網路犯罪分子打交道時「永遠不可能完全確定」，但仍強調客戶不應需要直接與駭客接觸。然而，Instructure 並未披露協議的財務條款，也未公布支付給駭客的確切金額。Instructure 發言人 Brian Watkins 拒絕針對公司官方聲明以外的內容進一步置評。
ShinyHunters 的回應與威脅
ShinyHunters 先前曾威脅，若 Instructure 不配合其要求，就會在該集團的資料外洩網站上公布遭竊資料。截至週二，相關刊登內容已遭移除，顯示贖金可能已經支付。ShinyHunters 的一名代表告訴 TechCrunch：「資料已刪除，不復存在。本集團不會再以付款為由，進一步鎖定或聯絡該公司及其客戶。」
政府與資安專家的警告
Instructure 支付贖金的決定引發了質疑。包括美國在內的多國政府一再呼籲網路犯罪受害者不要支付贖金，因為這麼做會助長更多攻擊。資安專家也警告，不應輕信聲稱已刪除遭竊資料的網路犯罪分子，因為有些犯罪分子被發現會保留資料，以便日後繼續勒索。
與其他網路攻擊事件的比較
Instructure 的資料外洩事件與 2024 年針對 PowerSchool 的網路攻擊有相似之處。另一家校務資訊軟體供應商 PowerSchool 曾遭遇大規模資料外洩，影響 7,000 萬名學生與教職員。儘管該公司已付錢給駭客以取回遭竊資料，部分客戶後來仍遭另一個保留了外洩資料的犯罪集團勒索。
FBI 聲明與遭竊資料詳情
上週，FBI 發表聲明，證實全美各地的學校與教育機構受到干擾。雖然聲明並未明確點名 Canvas，但該機構建議受害者不要付款，也不要回應網路犯罪分子的要求。
據 TechCrunch 報導，遭竊資料包括學生姓名、私人電子郵件地址，以及教師與學生之間的私人訊息。這些資料包含敏感的個人資訊。
Instructure 的確認與持續調查
Instructure 在其網站上證實，該公司的系統在一年內曾兩度遭到入侵。該公司將這兩次入侵形容為涉及不同系統的「獨立事件」。公司也表示，仍在持續調查這些事件並驗證其調查結果。
目前尚不清楚 Instructure 內部由誰負責監督網路安全事務。該公司在被問及執行長 Steve Daly 是否打算因這些資料外洩事件而辭職時，拒絕置評。
徵求相關資訊
您是受此次資料外洩影響的 Canvas 管理員或學校嗎？您是否收到駭客的勒索要求？我們希望聽到您的消息。若要透過安全管道聯絡本報導記者，請使用 Signal 聯絡使用者名稱 zackwhittaker.1337。
本文已更新，加入 Instructure 的回應。
如果您正在設定一台新電腦，別忘了軟體方面的需求。您可以在 buy Canva Pro key Whokeys.com 購買，享有即時交付、全球啟用，以及完整使用進階範本與 AI 設計工具的權限。對創作者與小型企業而言，是一項聰明實用的加購選擇。
