פריצת Canvas: האסון הגדול ביותר בפריצת נתוני תלמידים בהיסטוריה

פריצת Canvas: אירוע האבטחה הגדול ביותר בהיסטוריה החינוכית

ביום חמישי אחר הצהריים, מיליוני תלמידים וסטודנטים מרחבי העולם נותרו מנותקים ממערכת Canvas, הפלטפורמה המרכזית לניהול למידה המשמשת אלפי מוסדות חינוך. קבוצת ההאקרים ShinyHunters תקפה את חברת האם של Canvas וגנבה, על פי הדיווחים, מיליארדי הודעות וכן מידע אישי של למעלה מ-275 מיליון אנשים. בנוסף, ההאקרים חסמו את הגישה למערכת, וחשפו את הסכנות הטמונות בהסתמכות על פלטפורמות חינוכיות מרכזיות.

ההתקפה וההשלכות המיידיות

ביום חמישי אחר הצהריים, החלו תלמידים ומוסדות חינוך לדווח על חסימת הגישה למערכת Canvas. קבוצת ShinyHunters הודיעה כי ביצעה את ההתקפה ודרשה כופר תמורת שחרור הנתונים. חברת Instructure, המפעילה את Canvas, הצליחה להחזיר חלק ניכר מהשירותים למצב פעיל עד סוף היום, אך טרם ברור אם שולמה דרישת הכופר.

ההתקפה חשפה את הסכנות שבמרכזיות הנתונים החינוכיים והאישיים של מיליוני תלמידים במערכת אחת. Canvas משמשת כפלטפורמה מרכזית שבה מורים מפרסמים מטלות, הרצאות ודיונים, וסטודנטים מתקשרים עם מרצים ועמיתים. לדברי Instructure, הנתונים שנגנבו כוללים שמות, כתובות אימייל, מספרי תעודות זהות והודעות בין משתמשי המערכת.

ההודעה הרשמית של Instructure

«אנו מודעים להתקפה שהתרחשה ביום חמישי, וכן להתקפה נוספת שהתרחשה ב-29 באפריל. הנתונים שנגנבו כוללים מידע אישי מסוים של משתמשים בארגונים שנפגעו, לרבות שמות, כתובות אימייל, מספרי תעודות זהות והודעות בין משתמשי Canvas.»

תגובת מומחה לאבטחת נתונים בחינוך

מיד לאחר ההתקפה, שוחחנו עם איאן לינקטטר, ספרן דיגיטלי המתמחה בטכנולוגיות חינוך חדשניות. לינקטטר, שעבד בתחום במשך 20 שנה, ידוע בשל חשיפת בעיות פרטיות בתוכנת Proctorio, שזכתה לפרסום במהלך מגפת הקורונה. לינקטטר הגדיר את פריצת Canvas כ«האסון הגדול ביותר בפריצת נתוני תלמידים בהיסטוריה», בשל היקפה והרגישות של הנתונים שנגנבו.

ראיון עם איאן לינקטטר

404 Media: מה אנחנו יודעים עד כה על ההתקפה?

לינקטטר: בסביבות 13:20 (שעון הפסיפי) ביום חמישי, החלו משתמשים לפרסם צילומי מסך של הודעת הפריצה שקיבלו. חלק ממוסדות הלימוד הנחו את המשתמשים לשנות סיסמאות, ומצב החירום גרם לפאניקה בקרב הנהלות בתי הספר. חלקן אף דנות בביטול מבחני סוף השבוע הבאים. ההשלכות הן עצומות, שכן מוסדות חינוך מסתמכים על מערכת ניהול הלמידה הזו לכל דבר – תקשורת, ציונים, מבחנים ועוד.

404 Media: מה גרם לך להגדיר את הפריצה כאסון הגדול ביותר בהיסטוריה?

לינקטטר: עבדתי עם מערכות כמו Blackboard בעבר, ובשנים 2017–2022 עבדתי באוניברסיטת קולומביה הבריטית, שם עברנו למערכת Canvas. המעבר הזה היה חלק ממגמה של מעבר ממערכות עצמאיות קטנות למערכת מרכזית אחת. הבעיה היא שמערכת כזו הופכת למטרה אחת גדולה עבור האקרים, וכשאירוע כזה קורה, ההשלכות הן הרות אסון.

הסכנות שבמרכזיות הנתונים החינוכיים

הפריצה ל-Canvas מדגישה את הסכנות הטמונות בהסתמכות על פלטפורמות חינוכיות מרכזיות. כאשר כל הנתונים – החל מתקשורת בין תלמידים למרצים ועד לציונים ומטלות – מרוכזים במערכת אחת, חשיפתם להתקפה הופכת לאסון. בנוסף, הנתונים האישיים שנגנבו יכולים לשמש למטרות זדוניות כגון גניבת זהות, דואר זבל או מתקפות פישינג.

מה ניתן לעשות כדי להגן על הנתונים?

• גיבוי נתונים: מוסדות חינוך צריכים לוודא כי נתוני התלמידים מגובים באופן קבוע ומאובטח.
• הכשרת עובדים: הכשרה שוטפת של צוותי ההוראה והמינהל בנושא אבטחת מידע וזיהוי איומים.
• גיוון במערכות: הימנעות מהסתמכות על מערכת אחת בלבד, ופיתוח מערכות חלופיות למקרה של תקלה או התקפה.
• תגובה מהירה: הכנת תוכנית מגירה לתגובה לאירועי אבטחה, כולל תקשורת שקופה עם תלמידים והורים.

סיכום

פריצת Canvas היא תזכורת קשה לכך שהסתמכות על מערכות חינוכיות מרכזיות טומנת בחובה סיכונים עצומים. כאשר נתוני מיליוני תלמידים מרוכזים במערכת אחת, חשיפתה להתקפה עלולה לגרום לנזקים בלתי הפיכים. אירוע זה מחייב את מוסדות החינוך לבחון מחדש את אסטרטגיות אבטחת המידע שלהם ולפעול לצמצום הסיכונים.