Instructure fecha acordo com hackers que invadiram seus sistemas duas vezes
Instructure chega a acordo com hackers após violações de dados
A Instructure, empresa responsável pelo amplamente utilizado portal de informações escolares Canvas, anunciou na terça-feira que "chegou a um acordo" com os cibercriminosos que invadiram os seus sistemas duas vezes. Estes ataques resultaram no roubo de uma quantidade substancial de dados de estudantes e funcionários e afetaram milhares de escolas que dependem do software Canvas.
A violação de dados e os hackers envolvidos
O ShinyHunters, um grupo de cibercrime com motivações financeiras, assumiu a responsabilidade pela violação de dados de 29 de abril. O grupo afirmou ter roubado informações pessoais de 275 milhões de pessoas, incluindo estudantes e funcionários. O Canvas, utilizado por quase 9.000 escolas para gerir dados de estudantes e trabalhos escolares, foi o principal alvo do ataque.
Na semana passada, o ShinyHunters realizou uma segunda invasão, adulterando as páginas de início de sessão do Canvas nos sites das escolas para pressionar a Instructure a pagar um resgate.
O acordo e as suas implicações
A Instructure revelou na sua página sobre o incidente, na noite de segunda-feira, que, como parte do acordo, os hackers forneceram provas de que os dados roubados foram destruídos. A empresa também garantiu que os clientes do Canvas não seriam alvo de extorsão por parte dos hackers.
Embora a empresa tenha admitido que "nunca há certeza absoluta" ao lidar com cibercriminosos, salientou que os clientes não deverão ter de interagir diretamente com os hackers. No entanto, a Instructure não revelou os termos financeiros do acordo nem o montante exato pago aos hackers. Brian Watkins, porta-voz da Instructure, recusou-se a fazer mais comentários além da declaração oficial da empresa.
Resposta e ameaças do ShinyHunters
O ShinyHunters tinha ameaçado anteriormente publicar os dados roubados no seu site de fugas de dados caso a Instructure não cumprisse as suas exigências. Até terça-feira, a publicação tinha sido removida, sugerindo que um resgate poderá ter sido pago. Um representante do ShinyHunters disse ao TechCrunch: "Os dados foram eliminados, desapareceram. A empresa e os seus clientes não voltarão a ser alvo de ataques nem serão contactados por nós para efetuar pagamentos."
Alertas dos governos e de especialistas em segurança
A decisão da Instructure de pagar o resgate levantou questões. Governos, incluindo o dos Estados Unidos, têm recomendado repetidamente às vítimas de cibercrime que não paguem resgates, uma vez que isso incentiva novos ataques. Especialistas em segurança também alertam contra confiar em cibercriminosos que afirmam eliminar os dados roubados, pois alguns foram apanhados a conservar esses dados para prosseguir posteriormente com tentativas de extorsão.
Comparações com outros ciberataques
A violação da Instructure apresenta semelhanças com um ciberataque contra a PowerSchool em 2024. A PowerSchool, outra fornecedora de software de informações escolares, sofreu uma enorme violação de dados que afetou 70 milhões de estudantes e funcionários. Apesar de ter pago aos hackers para recuperar os dados roubados, alguns dos seus clientes foram posteriormente extorquidos por outro grupo criminoso que tinha conservado dados provenientes da violação.
Declaração do FBI e detalhes dos dados roubados
Na semana passada, o FBI emitiu uma declaração reconhecendo as perturbações causadas a escolas e instituições de ensino nos Estados Unidos. Embora não tenha mencionado explicitamente o Canvas, a agência aconselhou as vítimas a não efetuarem pagamentos nem responderem às exigências dos cibercriminosos.
Segundo o TechCrunch, os dados roubados incluem nomes de estudantes, endereços de e-mail pessoais e mensagens privadas entre professores e estudantes. Estes dados contêm informações sensíveis e pessoais.
Reconhecimento da Instructure e investigação em curso
No seu site, a Instructure confirmou que os seus sistemas tinham sido invadidos duas vezes no espaço de um ano. A empresa descreveu as duas violações como "eventos distintos" que envolveram sistemas separados. Também declarou que continua a investigar os incidentes e a validar as suas conclusões.
Permanece a incerteza sobre quem, na Instructure, é responsável pela supervisão da cibersegurança. Quando contactada, a empresa recusou-se a comentar se o seu CEO, Steve Daly, pretende demitir-se na sequência destas violações.
Pedido de informações
É administrador do Canvas ou representa uma escola afetada pela violação? Recebeu alguma exigência de extorsão por parte dos hackers? Queremos ouvir o seu relato. Para contactar este repórter de forma segura, utilize o Signal através do nome de utilizador zackwhittaker.1337.
Atualizado com a resposta da Instructure.
Se está a configurar um PC novo, não se esqueça do software. Pode buy Canva Pro key na Whokeys.com — entrega imediata, ativação global e acesso total a modelos premium e ferramentas de design com IA. Um complemento inteligente para criadores e pequenas empresas.
