بسته شواهد: چگونه اینستراکچر پس از نشت تاریخی ۲۷۵ میلیون رکورد Canvas باج پرداخت کرد

شواهد نشان می‌دهد که نفوذ آوریل ۲۰۲۶ به پلتفرم Canvas شرکت اینستراکچر، بزرگترین نشت فناوری آموزشی ثبت شده در تاریخ است. گروه باج‌گیری ShinyHunters تقریباً ۳.۶۵ ترابایت داده را که شامل ۲۷۵ میلیون رکورد کاربری در نزدیک به ۹۰۰۰ مؤسسه جهانی بود، استخراج کرد. حجم عظیم این داده‌ها، که شامل پیام‌های خصوصی و جزئیات ثبت‌نام است، فرصتی بی‌سابقه برای جمع‌آوری اطلاعات توسط مجرمان سایبری با هدف قرار دادن بخش دانشگاهی فراهم می‌کند.[1][4][5][7]

تحلیلگران اطلاعات تهدید، این حمله را به ShinyHunters، یک سندیکای باج‌گیری غیرمتمرکز که از سال ۲۰۲۰ فعال است، نسبت می‌دهند. محققانی که این گروه را ردیابی می‌کنند، تخصص آن‌ها را در نفوذ به زنجیره تأمین و پلتفرم‌های متمرکز ذکر می‌کنند. این گروه قبلاً در سپتامبر ۲۰۲۵ به محیط Salesforce شرکت اینستراکچر نیز نفوذ کرده بود، که نشان‌دهنده تمرکز عملیاتی مداوم بر این غول فناوری آموزشی و شبکه گسترده مشتریان سازمانی آن است.[4][8]

شواهد پزشکی قانونی به آسیب‌پذیری در محیط «رایگان برای معلم» (Free-for-Teacher) Canvas به عنوان بردار دسترسی اولیه اشاره دارد. طبق افشای حوادث، مهاجمان در ۲۵ آوریل ۲۰۲۶ از یک نقص نامشخص مرتبط با تیکت‌های پشتیبانی برای ورود استفاده کردند. این بردار به عوامل تهدید اجازه داد تا کنترل‌های امنیتی اصلی سازمانی را دور زده و به سیستم‌های تولیدی گسترده‌تر نفوذ کنند، که خطرات نگهداری سطوح قدیمی یا رایگان در مجاورت زیرساخت اصلی را برجسته می‌سازد.[1][7]

داده‌های تله‌متری اینستراکچر نشان می‌دهد که این شرکت نفوذ را در ۲۹ آوریل شناسایی کرده و دسترسی غیرمجاز را لغو و وصله‌های امنیتی را تا ۳۰ آوریل اعمال کرده است. با این حال، شواهد مهار نفوذ زودرس بود. در ۷ مه، عوامل تهدید از یک آسیب‌پذیری ثانویه سوءاستفاده کردند تا مجدداً وارد سیستم شوند و پورتال‌های ورود Canvas را در حدود ۳۳۰ مؤسسه، از جمله دانشگاه پنسیلوانیا و دانشگاه هاروارد، به صورت عمومی تخریب کردند.[1][6][7][8]

تکرار نفوذ در ۷ مه، حادثه را از یک سرقت پنهانی داده به یک کمپین باج‌گیری بسیار علنی تبدیل کرد. عوامل تهدید، صفحات استاندارد ورود دانشگاه‌ها را با یک پیام باج‌خواهی جایگزین کردند و از اینستراکچر خواستند تا ۱۲ مه برای توافق مذاکره کند یا با نشت گسترده داده‌ها مواجه شود. این تاکتیک که در طول دوره حساس امتحانات نهایی بسیاری از دانشگاه‌های آمریکای شمالی اجرا شد، فشار عملیاتی بر اینستراکچر و مشتریان سازمانی آن را به حداکثر رساند.[3][6][7]

اگرچه اینستراکچر هیچ مدرکی مبنی بر دسترسی به رمزهای عبور، شناسه‌های دولتی یا اطلاعات مالی پیدا نکرده است، مجموعه داده‌های استخراج شده همچنان بسیار حساس باقی می‌ماند. رکوردهای سرقت شده شامل نام‌های کاربری، آدرس‌های ایمیل سازمانی، ثبت‌نام‌های درسی و میلیاردها پیام خصوصی مبادله شده بین دانشجویان، اساتید و مشاوران دانشگاهی است.[2][8]

محققان امنیت سایبری با اطمینان بالا ارزیابی می‌کنند که داده‌های سرقت شده، کمپین‌های فیشینگ هدفمند (spear-phishing) بسیار متقاعدکننده‌ای را تقویت خواهند کرد. از آنجا که این داده‌ها حاوی زمینه‌های سازمانی واقعی هستند—مانند نام‌های خاص دوره‌ها و درخواست‌های خصوصی تسهیلات پزشکی—عوامل تهدید می‌توانند تله‌های مهندسی اجتماعی‌ای بسازند که تقریباً از ارتباطات قانونی دانشگاه قابل تشخیص نیستند.[4][8]

فراتر از سرقت داده‌ها، این نفوذ شکنندگی اکوسیستم گسترده شخص ثالث Canvas را آشکار کرد. Canvas از طریق کلیدهای API به ده‌ها برنامه خارجی متصل می‌شود. پس از نفوذ، مؤسسات مجبور شدند این ادغام‌ها را ممیزی و مجدداً تأیید کنند، که ابزارهای حیاتی دانشگاهی را مختل کرد و خطرات آبشاری ذاتی در پلتفرم‌های آموزشی بسیار به هم پیوسته را برجسته ساخت.[4]

در ۱۱ مه، یک روز قبل از ضرب‌الاجل باج‌گیری، اینستراکچر برای جلوگیری از نشت داده‌ها با عوامل تهدید به توافق رسید. این شرکت «گزارش‌های حذف» (shred logs)—گزارش‌های فنی تولید شده توسط برنامه‌های حذف داده—را به عنوان تأیید دیجیتالی مبنی بر حذف فایل‌های سرقت شده دریافت کرد. شایعات تأیید نشده صنعتی حاکی از آن است که مبلغ باج پرداختی تقریباً ۱۰ میلیون دلار بوده است.[2][3][7]

شواهد پشتیبان حذف واقعی داده‌ها اساساً ضعیف است. کارشناسان امنیت سایبری و حسابداران قانونی تقریباً متفق‌القول در مورد اعتبار گزارش‌های حذف ارائه شده توسط باج‌گیران تردید دارند. یک سازمان مجرم که قبلاً ۳.۶۵ ترابایت داده را کپی کرده است، می‌تواند به راحتی یک گزارش حذف برای یک نسخه تولید کند در حالی که نسخه‌های دیگر را نگه می‌دارد، و هیچ تضمین واقعی ارائه نمی‌دهد که اطلاعات بعداً مورد سوءاستفاده مالی قرار نخواهند گرفت.[2][7]

با وجود دستورالعمل‌های فدرال که قویاً پرداخت باج را منع می‌کنند، تصمیم اینستراکچر منعکس‌کننده فشارهای منحصر به فرد بخش آموزشی است. تحلیلگران امنیتی خاطرنشان می‌کنند که وقتی داده‌های به خطر افتاده شامل افشاهای شخصی حساس باشند—مانند سوابق سلامت روان یا اقدامات انضباطی مورد بحث در پیام‌های خصوصی—پتانسیل آسیب واقعی اغلب سازمان‌ها را وادار به پرداخت می‌کند و اولویت را به کاهش فوری خطر بر بازدارندگی بلندمدت می‌دهد.[2]

این نفوذ پیامدهای حقوقی فوری به دنبال داشته است، به طوری که چندین دعوای حقوقی جمعی علیه اینستراکچر در دادگاه‌های فدرال منطقه‌ای مطرح شده است. مؤسسات متأثر اکنون در حال مدیریت تعهدات نظارتی پیچیده، ارزیابی مسئولیت خود و بررسی سیاست‌های بیمه سایبری هستند، زیرا برای دعاوی طولانی‌مدت و تحقیقات نظارتی احتمالی در مورد اتکای خود به فروشندگان شخص ثالث آماده می‌شوند.[2][5]

ماهیت عمومی تخریب‌های ۷ مه، به شدت به اعتماد بین دانشگاه‌ها و ارائه‌دهندگان فناوری آن‌ها آسیب رساند. دانشجویان در مؤسسات متأثر در طول دوره‌های حساس امتحانات از دسترسی به دروس خود محروم شدند، که دانشگاه‌ها را مجبور کرد تا مهلت‌های اضطراری اعطا کنند و به دنبال روش‌های ارتباطی جایگزین باشند. این اختلال عملیاتی، وابستگی سیستمی به یک پلتفرم متمرکز واحد را برجسته کرد.[3][6]

نفوذ اینستراکچر به عنوان یک نقطه عطف برای امنیت فناوری آموزشی عمل می‌کند. معماران امنیتی اکنون از تفکیک سختگیرانه‌تر بین محیط‌های رایگان و سازمانی، نظارت پیشرفته بر تولید توکن‌های API و اجرای چارچوب‌های «اعتماد صفر» (zero-trust) در سیستم‌های مدیریت یادگیری حمایت می‌کنند. این حادثه نشان می‌دهد که پلتفرم‌های آموزشی دیگر اهداف جانبی نیستند، بلکه مخازن مرکزی اطلاعات با ارزش بالا محسوب می‌شوند.[1][4]