O grupo ShinyHunters escalou o ataque contra a plataforma de ensino Canvas, exigindo pagamento diretamente de cada uma das 8.809 instituições afetadas. Isso aconteceu depois que a Instructure, empresa responsável pelo Canvas, se recusou a negociar. O novo prazo dado pelos criminosos para que as escolas entrem em contato é nesta terça-feira (12).
O TecMundo noticiou na semana passada que o ShinyHunters havia invadido os sistemas da Instructure no fim de abril, roubado 3,65 terabytes de dados. Naquele momento, o grupo havia publicado uma exigência de resgate em seu site na dark web e esperava contato da empresa.
smart_display
Nossos vídeos em destaque
Instructure ignorou o grupo e criminosos partiram para outra tática
Com a Instructure sem entrar em contato até o prazo original de 6 de maio, o ShinyHunters mudou de abordagem. No dia 7 de maio, o grupo explorou a mesma falha original, no plano gratuito Free-For-Teacher, para desfigurar as páginas de login do Canvas de aproximadamente 330 instituições de ensino.
Desfigurar uma página significa substituir o conteúdo visual do site por outra mensagem, sem necessariamente derrubar o servidor. Cada escola afetada passou a exibir um aviso dos criminosos pedindo que as instituições entrassem em contato diretamente para negociar a supressão dos dados.
A ação travou o acesso de professores e alunos a aulas e materiais no momento em que a mensagem estava ativa. A Instructure respondeu tirando o Canvas do ar globalmente e suspendendo o Free-For-Teacher indefinidamente. O serviço voltou a funcionar no dia 8 de maio, segundo análise da empresa de segurança Halcyon.
Instructure removida do site de vazamentos
Logo após a desfiguração das páginas, a Instructure foi removida do site de extorsão do ShinyHunters na dark web. O grupo tem um padrão documentado de retirar as vítimas da lista quando negociações são iniciadas, mas nenhuma comunicação direta entre as partes foi confirmada publicamente.
No dia 8 de maio, o ShinyHunters publicou um comunicado no próprio site de extorsão dizendo que não vai falar com a imprensa sobre esse caso.
)
Cada escola agora é um alvo separado
A estratégia do grupo mudou de uma extorsão centralizada contra a Instructure para uma campanha escola por escola. As 8.809 instituições listadas na base de dados roubada têm até hoje para entrar em contato individualmente com os criminosos. Quem não negociar corre o risco de ter seus dados publicados.
Isso inclui universidades como Harvard, Stanford, MIT e Princeton, redes públicas de ensino nos Estados Unidos, além de empresas como Amazon, Apple e Goldman Sachs. Entre as muitas instituições brasileiras afetadas, estão a ESPM, Estácio de Sá, UNIP e Faculdade Cásper Líbero. O risco de publicação em massa permanece ativo.
)
Timing do ataque é calculado
A empresa de segurança Smarttech247, em análise divulgada pela Halcyon, aponta que o ShinyHunters escolheu o momento com precisão. Escolas e universidades estão no final do ano letivo, com provas em andamento e alta dependência da plataforma.
Isso aumenta a pressão sobre as instituições para pagar. Um ambiente offline durante períodos de avaliação representa um problema imediato para coordenadores, professores e alunos.
Risco de phishing segue alto para usuários do Canvas
Com nomes, e-mails institucionais, IDs de estudantes e mensagens trocadas dentro da plataforma em poder dos criminosos, o risco imediato para os usuários continua sendo o phishing. Uma mensagem falsa pode simular comunicados de coordenadores, TI ou secretaria com informações reais sobre turmas, professores e colegas.
)
A recomendação segue a mesma, troque a senha do Canvas, ative a autenticação em dois fatores e desconfie de qualquer e-mail que mencione o incidente ou peça para você clicar em links. Acesse sua conta sempre diretamente pelo navegador.
Acompanhe o TecMundo nas redes sociais. Inscreva-se em nossa newsletter e canal do YouTube.
