Furto di dati degli studenti: Instructure conferma violazione, responsabilità rivendicata da ShinyHunters
Il colosso dell’edtech Instructure ha confermato una violazione dei dati che ha esposto informazioni private di studenti. A rivendicare l’attacco è stato il gruppo di hacker e ricattatori ShinyHunters.
Secondo quanto dichiarato dai criminali informatici, i dati sottratti includono i nomi degli studenti, le loro email personali e i messaggi scambiati tra docenti e studenti — lo stesso tipo di informazioni che Instructure ha ammesso essere finite nelle mani degli attaccanti.
ShinyHunters ha colpito diversi grandi brand negli ultimi mesi, prendendo di mira in particolare università e aziende che gestiscono database in cloud. L’obiettivo è accumulare enormi quantità di dati personali e fare leva sul ricatto: minacciare la pubblicazione online delle informazioni se le vittime non pagano il riscatto.
Campioni di dati e scuole coinvolte
Un membro di ShinyHunters ha condiviso con TechCrunch un campione dei dati rubati, che riguardava due istituti scolastici statunitensi: uno in Massachusetts e uno in Tennessee.
– Per la scuola del Massachusetts, il campione includeva messaggi contenenti nomi, indirizzi email e alcuni numeri di telefono.
– Per l’istituto del Tennessee, il set di prova riportava i nomi completi degli studenti e le loro email.
Nel campione non erano presenti password né altre tipologie di dati che Instructure ha indicato come non coinvolte nella violazione.
TechCrunch non ha reso pubblici i nomi degli istituti, poiché le vittime non sono state confermate. In base alle informazioni disponibili sui rispettivi siti web, entrambe le scuole sembrano utilizzare Canvas, la piattaforma di Instructure per la gestione di corsi, compiti e comunicazioni con gli studenti.
Portata dell’attacco: numeri e cautela
ShinyHunters ha inoltre diffuso un elenco di circa 8.800 scuole che sarebbero state colpite. TechCrunch non è stata in grado di verificare se tutte le organizzazioni in lista siano effettivamente coinvolte né se siano clienti Instructure. Sul suo sito ufficiale, Instructure dichiara di avere oltre 8.000 istituzioni clienti.
Contattata da TechCrunch, la portavoce di Instructure, Kate Holmes, non ha risposto a diverse domande sull’incidente, rimandando invece alla pagina ufficiale dell’azienda dove vengono pubblicati gli aggiornamenti relativi alla violazione.
Sul proprio sito dedicato alle fughe di dati — usato per rivendicare gli attacchi e fare pressione sulle vittime — ShinyHunters sostiene che la violazione abbia riguardato quasi 9.000 scuole in tutto il mondo e i dati di 275 milioni di persone, tra studenti, docenti e personale scolastico. In una chat online, un membro del gruppo ha affermato che le email uniche contenute nei dati rubati sarebbero 231 milioni.
Va ricordato che i gruppi di cybercriminali a scopo di lucro tendono spesso a gonfiare i numeri per ottenere visibilità mediatica e intensificare la pressione sulle vittime.
Stato dei servizi Instructure
Alla giornata di martedì, Instructure ha comunicato che alcuni prodotti — tra cui Canvas — sono tornati operativi per i clienti dopo interventi di manutenzione. L’azienda continua a pubblicare aggiornamenti sull’indagine e sul ripristino dei servizi tramite la sua pagina ufficiale.
