מתקפת סייבר על פלטפורמת ענן המשמשת כ- 9,000 מוסדות ברחבי העולם, בהם אוניברסיטאות ובתי ספר. החדשות על מתקפת הסייבר התפרסמו כאשר חברת האם של קנבס – Instructure, הודיעה כי חוותה אירוע אבטחת סייבר שבוצע על ידי גורם פלילי.
היקף הפגיעה באוסטרליה
מספר מוסדות אקדמיים באוסטרליה אישרו פגיעה במידע:
- אוניברסיטת מלבורן אישרה שנתונים ממאגריה היו מעורבים בדליפה.
- אוניברסיטת סידני הודיעה שהיא בודקת מול הספק האם נחשף מידע אישי של אנשי הקהילה האקדמית.
- אוניברסיטת RMIT פרסמה הודעה רשמית על פגיעה במידע שלה.
- הקולג' האוסטרלי לרפואה כפרית (ACRRM) פרסם המלצה למשתמשים שלא לגשת לפלטפורמת Canvas בעקבות האירוע.
- הקולג' המלכותי האוסטרלי לרופאי משפחה (RACGP) הבהיר כי פלטפורמות ההכשרה המקוונות שלו לא נפגעו, אך הזהיר את חבריו מפני עלייה אפשרית במתקפות סייבר באמצעות דוא"ל.
איזה מידע נחשף
לפי הצהרת Canvas, החקירה מצביעה בשלב זה על כך שהמידע שנחשף כולל פרטים מזהים של משתמשים במוסדות שנפגעו: שמות, כתובות דוא"ל ומספרי תעודות סטודנט וכן, הודעות בין משתמשים. החברה ציינה שלא נמצאו עד כה ראיות לדליפת סיסמאות, תאריכי לידה, מספרי זיהוי ממשלתיים או מידע פיננסי ושאם המצב ישתנה, המוסדות שנפגעו יקבלו הודעה.
Canvas מסרה כי אינה מזהה פעילות בלתי מורשית מתמשכת, אך ממליצה למשתמשים לנקוט באמצעי זהירות וביישום שיטות עבודה מומלצות לאבטחה, ובכלל זה:
- אכיפת אימות רב-שלבי (MFA) על חשבונות בעלי הרשאות.
- סקירה מחודשת של הרשאות מנהל.
- החלפת אסימוני API ומפתחות בכל מקום רלוונטי.
ד"ר דיוויד אדם, רופא משפחה וחבר בוועדת המומחים של RACGP לטכנולוגיה וניהול במרפאה, מסר ל-newsGP כי בשלב זה אין מידע ברור על היקף המידע שאבד או על המשתמשים שבסיכון. לדבריו, למשתמשים ולמוסדות אין באמת שליטה על בחירת הספק או על יכולתם להעריך את רמת אבטחת המידע של החברות החיצוניות.
אדם הוסיף כי מתקפות מסוג זה ימשיכו להתרחש כל עוד אין השלכות משמעותיות על הגורמים האחראיים, מעבר לסיקור תקשורתי שלילי קצר טווח. הוא הצביע על אירוע Medisecure באוסטרליה, שבמהלכו נחשף מידע אישי ורפואי של אלפי אוסטרלים וארבע שנים לאחר מכן, לדבריו, לא ננקטו צעדים משמעותיים למניעת אירועים דומים. בעקבות האירוע הנוכחי, המליץ אדם לבעלי מרפאות ולמנהלים לבחון מחדש את השימוש בספקי צד שלישי, במיוחד במקומות שבהם השליטה והאחריות על אבטחת המידע הינן מוגבלות.
