- Instructureは学習管理システム Canvas を2度侵害した ShinyHunters に身代金（Ransom）を支払い、復旧に向けた合意を結んだ
- 合意に基づき、ハッカーが 8,800以上の機関 の約2億7,500万人のユーザーに関連する侵害データを返還したと明らかにした
- Instructureは、データ破棄の確認である shred logs と、顧客が追加の恐喝被害を受けないという保証を受けたと説明した
- ShinyHuntersは氏名、メールアドレス、学生ID、非公開メッセージの流出を警告し、Canvasの障害によって大学は試験や締め切りの延期を余儀なくされた
- National Cybersecurity Allianceの Cliff Steinhauer は、身代金の支払いが攻撃者への報酬となり、長期的な露出リスクを高める可能性があると評価した
Instructureの身代金支払いとCanvasの復旧
- Instructureはこの1週間半の間に、自社の学習管理システム Canvas を2度ハッキングしたサイバー犯罪組織にRansomを支払った
- Instructureの月曜夜の 更新 によると、今回の合意により、ハッカーは 8,800以上の機関の約2億7,500万人のユーザー に関連する侵害データを返還した
- Instructureは、データ破棄のデジタル確認である shred logs を受け取り、今回の事件によって「Instructureの顧客が公にであれその他の形であれ恐喝されることはない」という保証も確保した
- 今回の合意は「影響を受けたすべてのInstructure顧客」を対象としており、個別の顧客はCanvasを2度侵害して一時的に停止させた恐喝組織 ShinyHunters と連絡を取る「必要はない」と案内された
- Instructureは、サイバー犯罪者を相手に完全な確実性はないものの、可能な範囲で顧客に追加の安心を提供するため、管理可能なあらゆる措置を講じることが重要だと考えている
- Instructureは、フォレンジック分析の支援、環境の強化、関連データ全体のレビューのために専門企業と引き続き協力しており、作業の進行に応じて更新を提供する予定だ
ShinyHuntersの要求とCanvasサービス停止
- Instructureは合意金額を公表していないが、合意は ShinyHuntersが提示した5月12日の身代金期限 の前日に成立した
- ShinyHuntersは、University of Pennsylvania、Princeton University、Harvard Universityの最近のデータ侵害とも関連付けられている
- ShinyHuntersによるCanvas侵入は重大なサービス障害を引き起こし、氏名、メールアドレス、学生ID番号を含むユーザーデータを流出させたくなければ金を払えとInstructureに警告した
- ShinyHuntersは、5月3日に Ransomware.liveに掲載された脅迫文 で、「学生と教師、学生同士の間で交わされた数十億件の非公開メッセージ」と個人的な会話、その他の個人識別情報を保有していると主張した
- ハッカーはInstructureに 2026年5月6日 までに連絡するよう要求し、さもなければデータを流出させ、「厄介なデジタル上の問題」を引き起こすと警告した
- Instructureはこの要求に応じなかったようだが、セキュリティ問題には対処し、Canvasは 5月5日火曜日 までに完全に利用可能になった
- しかし木曜日にはCanvasユーザーが再びアカウントにアクセスできなくなり、期末試験や学期末課題を準備していた多くのユーザーにはハッカーのメッセージだけが表示された
- ハッカーのメッセージには「ShinyHuntersがInstructureを再び侵害した」とあり、Instructureは自分たちと連絡を取らず セキュリティパッチ だけを適用したと主張していた
- そのメッセージは、影響を受けた学校がデータ公開を防ぎたいならサイバー助言会社に相談し、TOXで非公開に連絡して合意を交渉するよう求め、各機関とInstructureに 5月12日 の期限を示した
- ShinyHuntersは RansomLookに掲載された脅迫文 で、Instructureは状況を理解しようともデータ公開を防ぐための交渉に乗り出そうともしなかったうえ、要求額も思われているほど高くなかったと主張した
大学の対応とInstructureのコミュニケーション変化
- Canvasの障害が続いたため、複数の 大学が試験と最終プロジェクトの締め切りを延期 し、問題解決を待った
- Instructure CEOの Steve Daly は、2度目の侵害後に会社サイトで公開した更新の中で、先週は公に発言する前に事実を正確に確認しようとしたが、そのバランスを誤ったと認めた
- Dalyは「事実確認に集中し、皆さんに継続的な更新が必要なときに沈黙していた」と述べ、今後はこれを改めると明らかにした
- その後Instructureはハッカーとのコミュニケーションも始めたようで、月曜午後に ウェブサイト で「すべてのCanvas環境が利用可能である」と告知した
身代金支払いのリスク
- National Cybersecurity Allianceの情報セキュリティ・エンゲージメント担当ディレクター Cliff Steinhauer は、身代金の支払いがInstructureの目先の問題を解決した可能性はあるが、一般的なサイバーセキュリティ対応の原則には反すると評価した
- Steinhauerは、身代金の支払いが「攻撃者が成功した侵害によって事実上報われる危険なフィードバックループ」を生みかねないとみている
- 組織が目先の危機を「解決」したと信じたとしても、サイバー恐喝の 経済的インセンティブ を強化し、大規模な教育プラットフォームや重要サービスを狙うことが利益になるというシグナルを脅威アクターに与える可能性がある
- 同氏は、法執行機関が一貫して警告しているように、身代金の支払いは業界全体へのさらなる攻撃を助長し、支払い自体を実行可能なインシデント対応戦略として常態化させるリスクがあると述べた
- Steinhauerは、InstructureとShinyHuntersの合意には 信頼と確実性 の問題も残ると評価した
- 犯罪者が盗んだデータを削除したと主張したり、破棄の「証拠」を示したとしても、それを信頼できる形で検証する方法はなく、過去にはデータが保管・再販売されたり、将来の恐喝に再利用されたりする例が多かったと説明した
- リスクの観点では、組織は目の前の短期的なサービス停止と引き換えに長期的な露出問題を抱え込む可能性があり、その問題は数か月後または数年後に再び表面化するかもしれず、それを防ぐための追加のてこもないかもしれない
1件のコメント
Hacker Newsの意見
彼はこれを誘拐の ransom に近いものとして説明していた。アメリカ人が人質に取られると各家族は金を払いたくなるが、その結果としてアメリカ人を誘拐する産業が生まれる。議会は誘拐犯への支払いを違法化してこれを抑え、採算が取れなくなったアメリカ人誘拐は減る一方で、ヨーロッパ人が標的になったという説明だった
彼の提案は、この状況によく関わるサイバーセキュリティコンサルタントと保険会社に対し、制裁対象国への支払いはすでに違法である可能性が高く、調査対象になりうると警告し始めようというものだった。初期に捕まる人たちは大きな打撃を受けるだろうが、最終的には業界が方向転換し、アメリカ企業を狙うことが減ると見ていた
定期バックアップをきちんとしていなかった役員は当然責任を負うべきだ
その金はさらなる脆弱性攻撃やさらにくだらないことに使われるだけで、終わりのない底辺への競争だ。ShinyHunters の上位グループである Lapsus$ も、自分たちのウェブサイトに会社ネットワーク内部へのアクセス権を買いたいと載せていた。データは要らず、侵入経路だけ欲しいと言っていた
追跡しにくい暗号資産で犯罪者に何百万ドルも渡し続ければこうなる
身代金支払いは3つのシグナルを与える。攻撃に弱いこと、攻撃から復旧できないこと、そして現金があることだ。結果として、はるかに多く攻撃されるようになる。どうしてわかるのかと聞かれるかもしれないが、答えるつもりはない
他方で、商売を続けたいランサムウェア組織は、データを公開したり削除しなかったりしないという意味で「誠実」である必要がある。そうしないと信頼できるランサムウェア運営者でいられないというのが妙におかしい。多くの場合、被害者はデータが流出することより、ランサムウェア運営者に金が支払われるほうを選ぶ。だから現在の被害者にとっては支払いが最善かもしれないが、将来の被害可能性は高める
ランサムウェアの力学と経済学は興味深い
個々の企業にとっては身代金を払うほうが有利である可能性が高いが、全員が支払わなければ全体としてはより良くなる
だからアメリカのようなところには公式のノーランサム方針があり、他にも同様の方針が存在する。個別の被害者が金を払えないよう強制する仕組みがなければ、常に支払いへと誘因が生まれ、身代金は利益を生み続ける
https://en.wikipedia.org/wiki/Collective_action_problem
https://en.wikipedia.org/wiki/Prisoner%27s_dilemma
同じ連中が「新しい」名前を使おうと既存の名前を使おうと、被害者にとってシステムを人質に取られた状況での計算はあまり変わらないように思える
最終的には Discworld 風の「ランサムウェア・ギルド」ができて「保険料」を取り、無許可でデータを人質に取る者を始末するか、あるいはデータが無価値になるようなエンドツーエンド暗号化ベースのシステムが作られるのではないか
多くの人を破滅させるだろうが、彼らをうまく模倣し、金を受け取ったあと復旧を行わないほど、最終的にはランサムウェアをビジネスとして成立させられなくできるかもしれない。何がまずいことになるっていうんだ？ ;)
0: https://wiki.roshangeorge.dev/w/Benevolent_Terrorist#Poisoni...
攻撃の根本原因も気になる。オンラインでは、ShinyHunters がよく使うパターンであるSalesforce Experience Cloud サイトの脆弱性に関連している可能性があるという噂を見たが、確認はされていない。確実に確認されているのは、その脆弱性が Canvas の「Free-For-Teacher accounts」機能に関連していた点だ
だから他の犯罪者ですら、金を受け取ったあと情報を流出させる連中を止める誘因がある
もちろん、ハッカーがデータを密かに売っておきながら「自分たちではない、別のハッキングで同じデータを得た誰かがやった」と言うことまでは防げない
ただし名誉毀損責任の可能性を前にすると、かなり勇気の要ることでもある。免責文言でそのリスクを大きく回避できるとも思えない
ハッキングの代償が低すぎる。特に上級管理職や経営陣にとっては、具体的な時間や資源コストを伴う抽象的な出来事としてしか扱われていない
侵害後に顧客が大規模に離れていくこともない。資金不足で過重労働の 7,000 の教育機関が一斉に移行することもないだろう
だからデータ侵害が起きても、その会社に持続的な影響はないと見て差し支えない。数か月後には全部忘れられる
データは安全だとか破棄されたとかいう彼らの表現もあまり好きではない。こうした事件でその種の約束はかなり疑わしく見える
https://www.blockonomics.co/#/search?q=bc1q5530apqz86eywm2f8...
[1] https://xcancel.com/search?f=tweets&q=1968412640398430555