Canvas-hacker ShinyHunters dreigt gelekte data miljoenen studenten te lekken
Hackersgroep ShinyHunters waarschuwt dat ze de gegevens die onlangs via onderwijssoftware Canvas zijn gestolen, zullen lekken. Dat doen ze via een bericht op het platform zelf, dat donderdagavond opnieuw door de groep werd getroffen.
Afgelopen week braken de hackers in bij het onderwijsplatform. Daarbij wisten ze gegevens van maar liefst 9.000 onderwijsinstellingen en zo’n 275 miljoen gebruikers buit te maken. Momenteel hebben alleen de hackers die data in handen, maar dat verandert dus zodra ontwikkelaar Instructure weigert aan de onderhandelingstafel aan te schuiven voor een losgeldvergoeding.
Instructure heeft tot 12 mei de tijd, zo schrijven de hackers die donderdag de aanval opnieuw opeisten. Gaan de ontwikkelaars niet op de eisen in, dan worden alle gegevens openbaar gemaakt. Het gaat naast namen ook om e-mailadressen (zowel school- als privéadressen), volgnummers en chatberichten tussen Canvas-gebruikers.
Miljoenen aan losgeld
Vanaf 12 mei zou die privacygevoelige informatie dus op straat kunnen liggen, tenzij Instructure besluit om te betalen. Of het bedrijf daartoe bereid is, blijft vooralsnog onduidelijk. Bedrijven laten zich doorgaans niet uit over zulke kwesties, zeker niet als de onderhandelingen nog moeten starten of momenteel lopen. Om hoeveel geld het precies gaat is niet bekend, maar bij een datalek op deze schaal gaat het doorgaans om miljoenen euro’s.
Canvas is inmiddels weer online nadat ShinyHunters donderdag opnieuw toegang wist te krijgen. Het onderwijsplatform stond korte tijd in onderhoudsmodus, maar is volgens de statuspagina van Instructure inmiddels voor bijna iedereen weer toegankelijk.
Belgische scholen waarschuwen studenten
ShinyHunters is geen kleine vis in de wereld van cybercriminaliteit. De groep eiste eerder de verantwoordelijkheid op voor grote aanvallen op bedrijven als Ticketmaster en Rockstar Games. Ook de Nederlandse telecomprovider Odido werd eerder getroffen. Daarbij werden uiteindelijk alle gestolen data op het darkweb gelekt nadat de provider weigerde de losgeldbetaling te voldoen.
Verschillende Belgische scholen die getroffen zijn door het lek, hebben hun studenten inmiddels ingelicht. Het gaat onder andere om de Thomas More Hogeschool, Arteveldehogeschool, Karel de Grote Hogeschool, CVO Gent, de Erasmushogeschool en de Vrije Universiteit Brussel (VUB).
Studenten wordt, in elk geval door de Arteveldehogeschool, gevraagd om waakzaam te zijn voor gerichte phishingaanvallen. Namen en e-mailadressen kunnen namelijk perfect gecombineerd worden voor overtuigende phishingmails die rechtstreeks van je school afkomstig lijken.
