Canvas(Instructure) 데이터 유출: 수강 등록 정보와 메시지 노출 — 학생, 교사, 학교가 해야 할 일

Instructure는 각 기관의 데이터를 해당 학교가 등록한 보안 연락처로 전달하며, 학생과 가족에게는 질문을 학교에 하라고 안내합니다. 우려되는 경우 학교의 IT 또는 학사 부서에 문의하세요.

학교가 개별 통지가 필요하다고 판단하면 Instructure는 외부 업체를 통해 학교를 대신해 통지를 발송하겠다고 제안하며, 일부 지역에서는 통지에 무료 신원 모니터링(24개월)이 포함될 수 있습니다. 이러한 통지를 받았다면, 조치하기 전에 같은 내용이 학교의 공식 웹사이트나 포털에 게시되어 있는지 확인하세요.

이름, 이메일 주소, 수강 강의를 알고 있으면 "과제 재제출", "성적 확인", "수강 정보 업데이트", "데이터 유출에 대한 사과 및 보상" 등을 내세운 그럴듯한 메시지를 쉽게 만들 수 있습니다. 이메일이나 문자의 링크로 로그인하지 마세요. 학교에서 평소 사용하는 Canvas 주소나 앱을 직접 여세요. 메시지에 응답해 비밀번호나 MFA 코드를 주지 마세요 (피싱이란? 참고).

메시지는 관련 필드 중 하나입니다. 비밀번호, 다른 서비스의 로그인 정보, 주소나 전화번호, 건강 또는 가족 관련 내용을 Canvas 메시지로 보낸 적이 있다면, 그 내용이 알려졌을 수 있다고 가정하세요. 비밀번호와 로그인 정보는 지금 해당 서비스에서 바꾸세요. 개인적인 사안을 이용한 연락은 미끼일 수 있으니 무시할 준비를 하세요.

Instructure는 자격 증명이 유출되었다는 증거는 없다고 말합니다. 그럼에도 특히 SSO와 MFA를 사용하지 않는 사용자에게 비밀번호 변경을 권장합니다. Canvas 비밀번호를 다른 곳에서 사용하고 있다면 따로 관리하세요. 학교가 MFA를 제공한다면 켜세요 (비밀번호 관리자 선택하기 / MFA 선택하기).

강의명과 수강 등록 정보가 있으면 교사를 사칭해 학생에게 메시지를 보내거나, 학생이나 직원을 사칭해 교사에게 메시지를 보내기가 쉬워집니다. 강의 관련 소통은 Canvas 내 공지사항 등 정해진 채널로만 이루어진다고 학생들에게 알려 주고, 그 밖의 연락은 의심하도록 하세요.

교사와 학생의 대화도 관련 필드 중 하나입니다. 과거 메시지에 학생의 편의 제공 사항, 건강 상태, 가정 사정 등이 포함되어 있었다면 학교의 IT 또는 개인정보 담당 부서에 알리세요. Instructure에 따르면 최종 사용자에게 통지가 필요한지는 학교가 결정하며, 메시지 검토가 끝나면 학교는 그 결정을 다시 검토해야 할 수도 있습니다. 메시지를 작성한 교사가 그 내용을 가장 잘 알고 있습니다.

앞으로는 유출되면 피해가 생기는 모든 정보, 예를 들어 비밀번호나 개인적인 사정은 학교가 지정한 채널을 통해 전달하세요. LMS 메시지는 강의 소통을 위한 것이며, 비밀을 보관하는 곳이 아닙니다.

Canvas는 5월 7일 유지보수 모드로 전환되었고, 학기 말 수업이 차질을 빚었습니다. Instructure는 강의 내보내기 도구와 API를 통해 Canvas 밖에 데이터를 보관할 수 있다고 안내합니다. 학기가 끝날 때마다 강의를 내보내 두면 다음에 서비스가 중단되었을 때 영향을 줄일 수 있습니다. Free-for-Teacher는 영구적으로 중단되었으며, 자료를 내려받을 수 있었던 기간(5월 28–29일, 7월 28–29일)도 끝났습니다.

Instructure는 영향을 받은 각 기관의 데이터를 Canvas 계정 설정에 등록된 보안 연락처 최대 2명에게 전달합니다. 연락처는 공유 사서함이나 배포 목록이 아닌 개인이어야 하며, 여러 Canvas 인스턴스를 운영하는 기관은 인스턴스마다 연락처가 필요합니다. 정해진 마감일은 없으며, 회사는 2주마다 새 연락처로 데이터를 보낸다고 말합니다.

전달 링크는 30일 후 만료되므로, 보관이 필요하다면 파일을 내려받으세요. 아무것도 도착하지 않았다면 Instructure는 가능한 이유 세 가지(연락처가 등록되지 않음, 메시지 데이터만 관련되었고 아직 처리 중임, 추가 검토 결과 해당 기관의 사용자 기록이 없음)를 제시하며, 문의하면 어떤 경우인지 확인해 줍니다.

Instructure의 입장은 대부분의 관할 지역에서 사용자 및 계정 설정 데이터에 대해 개별 통지를 요구하지 않는다는 것입니다. 다만 학교가 통지가 필요하다고 판단하면, 학교가 동의한 경우에만 외부 업체를 통해 통지를 조율하겠다고 합니다. 메시지 데이터는 별도로 검토되었으며, 9월 29일 회사는 포렌식 검토가 완료되었다고 발표했습니다. 메시지 데이터가 포함된 기관은 통지 결정을 다시 검토해야 할 수 있다고 말합니다.

데이터 전달 및 통지 이메일의 발신 주소는 Instructure의 고객 FAQ에 나와 있습니다. 이메일 본문의 정보가 아니라 이 공식 페이지와 대조해 확인하세요.

Instructure에 따르면, 로그에는 4월 25일부터 4월 30일까지, 그리고 5월 7일 잠시 Canvas 고객 지원 담당자 계정의 접근이 나타날 수 있습니다. 여러 강의나 사용자 계정에 대한 빠른 접근, 또는 지원 인력이 평소 다루지 않는 계정과 강의에 대한 접근 중 학교가 제출한 정당한 지원 티켓과 맞지 않는 것은 공격자의 흔적일 수 있습니다.

검토에는 Canvas Data와 관리자 접근 로그를 사용할 수 있습니다. 회사의 포렌식 업체가 작성한 중간 사실 시트(알려진 침해 지표 포함)는 Instructure Community에 게시되어 있습니다.

Instructure는 인증 방식과 관계없이 MFA를 권장하며, 특히 모든 관리자에 대해 Canvas MFA를 켜라고 권합니다. SSO를 사용하는 학교의 경우 MFA는 대개 ID 공급자(IdP)의 정책으로 적용하는 것이 가장 좋다고 말합니다. Canvas 인증 계정은 Canvas 기본 MFA를 전체 사용자 또는 관리자만 대상으로 켤 수 있습니다.

Instructure는 파트너 자격 증명, API 키, 개발자 토큰이 외부로 유출되었다는 증거는 발견하지 못했으며, 기관에 연동 기능을 전면적으로 재구축하거나 키를 교체하라고 요구하지 않는다고 말합니다. 다만 SIS 명단 연동이나 성적 동기화가 중단되었다면, Instructure 측에서 키가 교체되었을 수 있으니 업데이트된 자격 증명을 요청하세요. 또한 API 키를 선제적으로 교체하거나 연동 기능을 다시 인증할 수 있습니다. 이 기회에 만료일이 없는 토큰과 사용하지 않는 개발자 키를 점검하세요.

이번 중단은 학기 말에 발생했습니다. Instructure는 API, Canvas Data, 강의 내보내기, 표준 기반 내보내기 형식을 통해 기관이 독립적인 백업을 만들 수 있다고 안내합니다. 다음 학기 전에 어떤 데이터를 LMS 밖에서, 얼마나 자주, 어디에 백업할지, 그리고 LMS가 며칠간 중단되면 과제 제출과 성적 입력을 어떻게 처리할지 정하세요 (백업 기본 원칙 참고).