Canvas en crise: XSS, extorsion et risque systémique pour 30 millions d'étudiants

Instructure, l'entreprise derrière le système populaire de gestion d'apprentissage Canvas, a confirmé qu'il a atteint un "deal" avec le groupe d'extorsion ShinyHunters suite à une cyberattaque qui, selon les criminels eux-mêmes, a permis le vol de plus de 3.6 TB de données non-compressées et la modification temporaire des portails d'accès Canvas. L'entreprise affirme que les données ont été retournées et qu'elle a reçu des « journaux fermés » et qu'il n'y aura pas d'extorsion publique ou privée contre ses clients. mais l'opération soulève des questions techniques, juridiques et fiables qui ne sont pas résolues par une simple déclaration.

Les attaquants ont exploité des vulnérabilités de scripts transsites (XSS) dans l'environnement Free-for-Teacher, une version gratuite et limitée de Canvas pour les enseignants individuels, en injectant du JavaScript malveillant dans le contenu généré par l'utilisateur pour obtenir des sessions administratives authentifiées et effectuer des actions privilégiées. Ce modèle - XSS dans les fonctions de contenu - révèle des erreurs dans le contrôle d'entrée/sortie, l'isolement des privilèges et la gestion des sessions; des solutions techniques immédiates impliquent la validation et une réorganisation robuste des intrants, une politique stricte de sécurité du contenu et une réduction de la portée des comptes avec des autorisations administratives.

La portée de l'incident est pertinente pour l'échelle de service : Cans est utilisé par plus de 30 millions d'étudiants et d'enseignants dans plus de 8 000 établissements, ce qui rend toute fuite un risque systémique pour les données personnelles et académiques. Outre la perte d'informations, il existe un risque de réutilisation pour les campagnes d'hameçonnage, de vol de comptes et de fraude académique. Même si les criminels prétendent avoir détruit l'information, il n'existe aucun moyen infaillible de vérifier que les données n'ont pas été copiées ou vendues auparavant., un avertissement que des agences comme le FBI ont répété concernant le paiement des secours et la gestion des incidents: https: / / www.fbi.gov / comment-nous pouvons-aider-vous / escroqueries-et-sécurité / commo-fraudes-et-scams / ransomware.

Au-delà de la réponse publique de l'Instruction, il y a des nuances critiques : les « grumes tranchées » peuvent être falsifiées ou incomplètes, et les attaquants réexploitent souvent la même vulnérabilité s'il n'y a pas de correctifs ou d'atténuations durables ; en fait, ShinyHunters a profité du même échec pour une nouvelle intrusion et pour se défaire le 7 mai, exigeant des négociations jusqu'au 12 mai. La transparence dans la recherche médico-légale, la publication d'indicateurs d'engagement et la vérification indépendante de l'élimination des données sont des étapes que de nombreuses institutions vont demander avant de retrouver confiance. L'infrastructure a annoncé la création d'un webinaire informatif et la fermeture temporaire de comptes libres pour enseignants tout en travaillant sur les corrections.

Pour les administrateurs de Canvas et les agents de sécurité des établissements d'enseignement, la priorité immédiate est de supposer qu'il y a eu exposition et d'agir en conséquence : vérifier l'accès et la connexion, faire pivoter les lettres d'identité et les clés qui ont pu être compromises, forcer la réauthentification et appliquer ou renforcer l'authentification multifactorielle dans tous les comptes administratifs. Il est également essentiel de revoir et de fermer les vecteurs XSS dans les modules de contenu et les plugins: pour mieux comprendre la menace technique de XSS et son atténuation, il est utile de consulter la documentation OWASP sur XSS: https: / / owasp.org / www-community / attaques / xss /. La segmentation entre les environnements de production et les environnements libres ou pilotes devrait être revue afin de réduire au minimum l'escalade des privilèges grâce à des services de moindre sécurité..

Pour les étudiants, les enseignants et le personnel, les mesures pratiques comprennent la modification des mots de passe utilisés dans Canvas, l'activation du MFA si disponible, le suivi des communications institutionnelles et l'éviter de cliquer sur des liens ou télécharger des fichiers suspects à partir de comptes internes qui ont pu être supplantés. Si des informations financières ou des données sensibles ont été traitées, il convient d'évaluer la nécessité d'alerter les autorités chargées de la protection des données et d'envisager des mesures de protection de l'identité. Une communication interne claire et un guide pratique réduisent le risque d'attaques d'hameçonnage secondaire ou d'ingénierie sociale par la communauté éducative.

Au niveau des entreprises et de la réglementation, la décision de négocier ou de conclure un accord avec des acteurs criminels a des incidences sur la réputation et le droit. Le fait de payer ou d'accepter des conditions avec des criminels peut sauver une évasion immédiate, mais ne supprime pas les responsabilités en matière de rapports en vertu de règlements tels que la RGPD en Europe ou les lois des États-Unis en matière de rapports. Il peut également encourager d'autres groupes à cibler les fournisseurs ayant des clients vulnérables. Les établissements devraient exiger des prestataires de services éducatifs qu ' ils fassent preuve d ' une transparence totale, qu ' ils procèdent à des évaluations médico-légales indépendantes et qu ' ils mettent en place des plans de remise en état et de prévention démontrables. et prévoient des clauses contractuelles concernant la responsabilité et les communications en cas d'incidents.

Enfin, cet incident rappelle que la croissance rapide des plateformes de freemium pour le secteur de l'éducation nécessite des contrôles de sécurité équivalents à ceux des environnements de paiement. La sécurité ne peut être subsidiaire à l'adoption de masse: elle doit être intégrée dans la conception, la gestion du changement et le soutien de tiers. Les centres devraient tirer parti de la situation pour revoir leur position, formaliser des tests de pénétration réguliers, élargir le suivi et exiger de leurs fournisseurs qu'ils fournissent des audits externes indépendants et des programmes de récompense de la vulnérabilité afin de réduire le risque que des défaillances connues soient à nouveau exploitées.