Утечка данных Canvas (Instructure): раскрыты записи о зачислении на курсы и сообщения — что делать студентам, преподавателям и школам

Instructure передаёт данные по каждому учреждению контактам по безопасности, которые зарегистрировала школа, и просит студентов и семьи направлять вопросы в свою школу. Если вы обеспокоены, обратитесь в ИТ-службу или учебную часть школы.

Если школа решит, что необходимо индивидуальное уведомление, Instructure предлагает отправить его от имени школы через стороннего провайдера, а в некоторых случаях уведомление может включать бесплатный мониторинг личности (24 месяца). Если вы получили такое уведомление, проверьте, что такое же уведомление есть на официальном сайте или портале вашей школы, прежде чем что-либо предпринимать.

Имея имена, адреса электронной почты и названия курсов, легко написать убедительные сообщения о «повторной отправке задания», «проверке оценки», «обновлении зачисления» или «извинении и компенсации за утечку данных». Не входите в систему по ссылкам из писем или SMS; откройте обычный адрес или приложение Canvas вашей школы самостоятельно. Никогда не сообщайте пароль или код MFA в ответ на сообщение (см. Что такое фишинг?).

Сообщения входят в число затронутых полей. Если вы когда-либо отправляли в сообщении Canvas пароль, логин от другого сервиса, свой адрес или номер телефона, сведения о здоровье или семейные обстоятельства, считайте, что это содержимое может быть известно. Для паролей и логинов немедленно смените их в соответствующем сервисе; в случае личных сведений будьте готовы игнорировать любые контакты, которые используют их как приманку.

Instructure говорит, что у неё нет доказательств компрометации учётных данных. Тем не менее компания рекомендует менять пароли, особенно пользователям, не использующим SSO и MFA. Если ваш пароль от Canvas используется где-либо ещё, разделите их. Если ваша школа предлагает MFA, включите её (Выбор менеджера паролей / Выбор MFA).

Названия курсов и данные о зачислении облегчают написание сообщений, которые выдают себя за преподавателя для студентов, либо за студентов или сотрудников для преподавателя. Объясните студентам, что сообщения по курсам приходят только через установленные каналы, например через объявления внутри Canvas, и что всё остальное нужно воспринимать с подозрением.

Переписка между преподавателями и студентами входит в число затронутых полей. Если в прошлых сообщениях были сведения об особых условиях обучения студентов, состоянии здоровья или семейных обстоятельствах, сообщите об этом в ИТ-службу или отдел конфиденциальности школы. По данным Instructure, именно школа решает, нужно ли уведомлять конечных пользователей, и школам, возможно, придётся пересмотреть это решение после завершения проверки сообщений. Преподаватель, который писал сообщения, лучше всех знает, что в них содержится.

С этого момента передавайте всё, что может навредить в случае утечки, например пароли или личные обстоятельства, через канал, который определила ваша школа. Система сообщений LMS предназначена для общения по курсам, а не для хранения секретов.

7 мая Canvas был переведён в режим технического обслуживания, и работа в конце семестра была нарушена. Instructure отмечает, что инструменты экспорта курсов и API позволяют хранить данные за пределами Canvas. Экспорт курсов в конце каждого семестра снижает последствия следующей недоступности сервиса. Free-for-Teacher навсегда прекращён, а периоды для загрузки материалов (28–29 мая и 28–29 июля) закрыты.

Instructure передаёт данные каждого затронутого учреждения не более чем двум контактам по безопасности, зарегистрированным в настройках учётной записи Canvas. Контакты должны быть отдельными людьми, а не общими почтовыми ящиками или списками рассылки, а учреждениям с несколькими экземплярами Canvas нужны контакты для каждого экземпляра. Жёсткого крайнего срока нет; компания говорит, что отправляет данные новым контактам раз в две недели.

Ссылка для получения данных действует 30 дней, поэтому загрузите файлы, если вам нужно их сохранить. Если ничего не поступило, Instructure называет три возможные причины (контакт не зарегистрирован, затронуты только данные сообщений, которые ещё находятся в обработке, или дальнейшая проверка не выявила записей пользователей вашего учреждения) и подтвердит, какая из них применима, если вы обратитесь с запросом.

Позиция Instructure такова: в большинстве юрисдикций индивидуальное уведомление для пользовательских данных и данных о подготовке учётных записей не требуется, но если школа решит, что уведомление необходимо, Instructure организует уведомления через стороннего провайдера только после того, как школа даст согласие. Данные сообщений проверялись отдельно, а 29 сентября компания объявила, что криминалистическая проверка завершена. Она говорит, что учреждениям, в данных которых есть сообщения, возможно, придётся пересмотреть решения об уведомлении.

Адреса отправителей писем о передаче данных и уведомлениях перечислены в клиентском FAQ Instructure. Сверяйте их с этой официальной страницей, а не с информацией внутри самого письма.

По данным Instructure, в ваших журналах могут быть записи о доступе от учётных записей сотрудников службы поддержки Canvas между 25 и 30 апреля, а также кратковременно 7 мая. Признаками злоумышленника могут быть, например, быстрый доступ ко многим курсам или учётным записям либо доступ к учётным записям и курсам, которых сотрудники поддержки обычно не касаются, не соответствующие реальным обращениям в поддержку, которые вы подавали в эти периоды.

Для проверки можно использовать Canvas Data и журналы административного доступа. Промежуточная справка от криминалистической фирмы компании, включая известные индикаторы компрометации, опубликована в сообществе Instructure.

Instructure рекомендует MFA независимо от способа аутентификации и особо рекомендует включить MFA Canvas для всех администраторов. Школам, использующим SSO, компания говорит, что MFA обычно лучше всего обеспечивать через политики поставщика удостоверений. Учётные записи с аутентификацией через Canvas могут использовать встроенную MFA Canvas, включённую для всех пользователей или только для администраторов.

Instructure говорит, что не нашла доказательств того, что учётные данные партнёров, ключи API или токены разработчиков были выведены за пределы системы, и не просит учреждения полностью перестраивать или менять интеграции. Однако если синхронизация списков или оценок в SIS прекратилась, ваши ключи могли быть заменены на стороне Instructure, и вам следует запросить обновлённые учётные данные. Также можно заранее сменить ключи API или повторно авторизовать интеграции. Воспользуйтесь моментом, чтобы проверить токены без срока действия и неиспользуемые ключи разработчика.

Сбой произошёл в конце семестра. Instructure отмечает, что API, Canvas Data, экспорт курсов и форматы экспорта на основе стандартов позволяют учреждениям вести независимое резервное копирование. До начала следующего семестра решите, какие данные вы копируете за пределами LMS, как часто и где их хранить, а также как будут работать задания и выставление оценок, если LMS будет недоступна несколько дней (см. Основы резервного копирования).