美國國會傳喚Canvas母公司CEO：一周內(nèi)遭兩次攻擊，2.8億條學生數(shù)據(jù)被盜

美國國土安全委員會本周一向在線教育平臺Canvas的母公司Instructure發(fā)出傳喚信，要求CEO史蒂夫·達利（Steve Daly）就近期兩起重大網(wǎng)絡攻擊事件出庭作證。勒索組織ShinyHunters在一周內(nèi)兩次攻破該平臺，竊取數(shù)百萬學生數(shù)據(jù)，并在期末考試期間癱瘓多州學校系統(tǒng)。

委員會主席安德魯·加巴里諾在信中寫道："委員會正在調(diào)查有關Instructure Holdings, Inc.近期網(wǎng)絡安全事件的令人擔憂的報告，這些事件影響了數(shù)千萬依賴其Canvas學習管理平臺的學生、教育工作者和管理人員。"

據(jù)BleepingComputer首次報道，Instructure于5月3日披露遭受入侵。公司隨后確認，4月29日檢測到威脅行為者已滲透其系統(tǒng)，竊取了使用Canvas平臺的學生及教職員工數(shù)據(jù)。泄露信息包括姓名、電子郵箱、學生學號以及師生在平臺上的往來消息，但未涉及密碼、財務信息或政府身份證件。

同一天，ShinyHunters勒索團伙宣稱對攻擊負責，并向BleepingComputer表示竊取了2.8億條數(shù)據(jù)記錄，涉及8,809所學院、學區(qū)和在線教育平臺。該團伙還公布了一份受影響教育機構名單，各機構被盜記錄數(shù)量從數(shù)萬條到數(shù)百萬條不等。

一周后，ShinyHunters發(fā)起第二輪攻擊，通過跨站腳本（XSS）漏洞獲取管理員認證會話，篡改Canvas登錄頁面并展示勒索信息，要求Instructure與其談判。此次破壞波及加利福尼亞、佛羅里達、喬治亞、俄克拉荷馬、俄勒岡、內(nèi)華達、北卡羅來納、田納西、猶他、弗吉尼亞和威斯康星等多州院校，部分大學被迫取消期末考試。

國土安全委員會的信件特別提及，攻擊者公開聲稱因Instructure拒絕談判而再次發(fā)起攻擊。然而事件在昨夜出現(xiàn)轉折：ShinyHunters突然將Instructure從其數(shù)據(jù)泄露網(wǎng)站移除，公司隨即披露已與該團伙達成協(xié)議，阻止數(shù)據(jù)公開泄露。這一反轉引發(fā)外界對贖金談判的猜測，但Instructure未披露協(xié)議具體條款。

Canvas是美國最廣泛使用的學習管理系統(tǒng)之一，覆蓋從K-12到高等教育的數(shù)千萬用戶。此次事件暴露了教育科技平臺在勒索攻擊面前的脆弱性——當學校系統(tǒng)高度依賴單一供應商時，一次安全事件便能在關鍵時間節(jié)點癱瘓整個教育生態(tài)。國會介入調(diào)查意味著Instructure可能面臨更嚴格的監(jiān)管審查，也為整個行業(yè)敲響警鐘。