Instructure, 자사를 두 차례 해킹한 해커들과 합의

Instructure, 데이터 유출 이후 해커들과 합의

널리 사용되는 학교 정보 포털 Canvas를 운영하는 Instructure는 자사 시스템을 두 차례 침해한 사이버 범죄자들과 "합의에 도달했다"고 화요일 발표했다. 이 공격으로 학생과 교직원의 방대한 데이터가 탈취됐으며, Canvas 소프트웨어에 의존하는 수천 개 학교가 운영에 차질을 빚었다.

데이터 유출과 관련 해커 조직

금전적 이익을 목적으로 활동하는 사이버 범죄 조직 ShinyHunters는 4월 29일 발생한 데이터 유출이 자신들의 소행이라고 주장했다. 이 조직은 학생과 교직원을 포함한 2억 7,500만 명의 개인정보를 탈취했다고 밝혔다. 약 9,000개 학교에서 학생 데이터와 교과 과정을 관리하는 데 사용되는 Canvas가 이번 공격의 주요 표적이었다.

지난주 ShinyHunters는 두 번째 침해를 감행해 학교 웹사이트의 Canvas 로그인 페이지를 변조하고, Instructure에 몸값을 지불하라고 압박했다.

합의와 그 영향

Instructure는 월요일 늦게 사고 관련 페이지를 통해 합의의 일환으로 해커들이 탈취한 데이터가 삭제됐다는 증거를 제공했다고 밝혔다. 또한 Canvas 고객들이 해커들로부터 금품을 요구받는 일은 없을 것이라고 설명했다.

회사는 사이버 범죄자들을 상대할 때는 "완전한 확신이란 결코 없다"고 인정하면서도, 고객들이 해커들과 직접 접촉할 필요는 없을 것이라고 강조했다. 그러나 Instructure는 합의의 금전적 조건이나 해커들에게 지급한 정확한 금액을 공개하지 않았다. Instructure 대변인 브라이언 왓킨스는 회사의 공식 성명 외에는 추가로 언급하지 않았다.

ShinyHunters의 답변과 위협

ShinyHunters는 앞서 Instructure가 자신들의 요구에 응하지 않으면 탈취한 데이터를 유출 사이트에 공개하겠다고 위협했다. 화요일 기준 해당 게시물이 삭제된 것으로 보아 몸값이 지급됐을 가능성이 있다. ShinyHunters의 한 관계자는 TechCrunch에 "데이터는 삭제됐으며 이제 존재하지 않는다. 우리 측에서 해당 회사와 고객들을 추가로 표적으로 삼거나 금전 지급을 요구하기 위해 연락하는 일은 없을 것이다."라고 말했다.

정부와 보안 전문가들의 경고

Instructure가 몸값을 지급하기로 한 결정을 두고 의문이 제기되고 있다. 미국을 비롯한 여러 국가의 정부는 몸값 지급이 추가 공격을 부추긴다는 이유로 사이버 범죄 피해자들에게 지속적으로 몸값을 지불하지 말라고 촉구해 왔다. 보안 전문가들 역시 탈취한 데이터를 삭제했다고 주장하는 사이버 범죄자들을 신뢰해서는 안 된다고 경고한다. 일부 범죄자들이 나중에 추가로 금품을 요구하기 위해 데이터를 보관한 사례가 확인됐기 때문이다.

다른 사이버 공격과의 비교

Instructure 침해 사고는 2024년 PowerSchool을 대상으로 발생한 사이버 공격과 유사하다. 또 다른 학교 정보 소프트웨어 제공업체인 PowerSchool은 학생과 교직원 7,000만 명에게 영향을 미친 대규모 데이터 유출 사고를 겪었다. 탈취된 데이터를 회수하기 위해 해커들에게 돈을 지급했음에도 불구하고, 일부 고객들은 이후 해당 침해 사고에서 데이터를 보관하고 있던 또 다른 범죄 조직으로부터 금품 요구를 받았다.

FBI 성명과 탈취 데이터 세부 정보

지난주 FBI는 미국 전역의 학교와 교육기관에서 운영 차질이 발생하고 있음을 인정하는 성명을 발표했다. Canvas를 명시적으로 언급하지는 않았지만, FBI는 피해자들에게 돈을 보내거나 사이버 범죄자들의 요구에 응하지 말라고 권고했다.

TechCrunch에 따르면 탈취된 데이터에는 학생들의 이름, 개인 이메일 주소, 교사와 학생 간의 비공개 메시지가 포함돼 있다. 이 데이터에는 민감한 개인정보가 담겨 있다.

Instructure의 인정과 진행 중인 조사

Instructure는 자사 웹사이트를 통해 1년 이내에 시스템이 두 차례 침해됐음을 확인했다. 회사는 두 침해 사고를 서로 다른 시스템에서 발생한 "별개의 사건"이라고 설명했다. 또한 해당 사고들에 대한 조사와 조사 결과 검증을 계속하고 있다고 밝혔다.

Instructure에서 사이버 보안 감독을 누가 책임지고 있는지는 불분명하다. 회사는 이번 침해 사고 이후 스티브 데일리 CEO가 사임할 계획인지 묻는 질문에 답변하지 않았다.

제보 요청

이번 침해 사고의 영향을 받은 Canvas 관리자 또는 학교 관계자이신가요? 해커들로부터 금품 요구를 받으셨나요? 여러분의 제보를 기다립니다. 이 기자에게 안전하게 연락하려면 Signal에서 사용자 이름 zackwhittaker.1337로 메시지를 보내주시기 바랍니다.

Instructure의 답변을 반영해 업데이트했습니다.

새 PC를 설정하고 있다면 소프트웨어도 잊지 마세요. buy Canva Pro key 제품을 Whokeys.com에서 구매할 수 있습니다. 즉시 배송, 글로벌 활성화, 프리미엄 템플릿과 AI 디자인 도구 전체 이용 혜택을 제공합니다. 크리에이터와 소규모 비즈니스에 유용한 선택입니다.