Canvas가 다시 온라인 상태가 되었지만 질문 및 최종 시험 중단은 여전히 남아 있습니다.
온라인 교육 플랫폼 Canvas는 목요일에 데이터 유출이 발생한 후 오프라인 상태가 되었으며, 미국 수천 개의 대학과 K-12 학교의 학생과 교수진이 결승전 기간 동안 강좌 자료와 커뮤니케이션에 일시적으로 접근할 수 없게 되었습니다.
펜실베이니아 대학의 정치학 선임 강사인 데이먼 링커는 “정전이 발생했을 때 전국 어딘가에 실제로 플랫폼이 다운되었을 때 플랫폼에서 최종 시험을 치르는 사람들이 있었을 것이라고 확신합니다”라고 말했습니다.
모회사인 Instructure에 따르면 북미 고등 교육 기관의 절반을 포함하여 3천만 명의 사용자가 Canvas를 사용하여 강좌를 관리하고, 과제를 제출하고, 성적을 확인하고, 커뮤니케이션을 촉진한다고 합니다.
그러나 목요일 오후 링커와 다른 많은 사용자들이 이를 시도했을 때 검은 화면과 경고 메시지를 만났습니다.
“ShinyHunters가 (다시) Instructure를 침해했습니다”라고 적혀 있습니다. “문제를 해결하기 위해 우리에게 연락하는 대신 그들은 우리를 무시하고 일부 ‘보안 패치’를 수행했습니다.”
ShinyHunters는 2024년 대규모 Ticketmaster 데이터 침해 사건의 공로를 인정받은 동일한 단체입니다. 이러한 많은 그룹과 마찬가지로 이 단체도 원격으로 함께 일하는 젊은이들의 집단입니다. “일종의 랜섬웨어 갱과 같습니다”라고 SocialProof Security의 CEO인 Rachel Tobac는 말합니다. 이 회사는 해커로부터 자신을 방어하도록 개인과 기업을 교육합니다.
ShinyHunters는 이번 주 초 위협 인텔리전스 웹사이트에 토요일에 발생한 최초 침해에는 전 세계 약 9,000개 학교의 2억 7,500만 명의 학생, 교사 및 교직원이 보낸 개인 메시지를 포함한 데이터가 포함되었다고 썼습니다. 피해 학교는 암호화된 채팅 플랫폼 톡스를 통해 사이버 자문회사와 협의하고 합의를 협상해 데이터 유출을 막을 수 있다고 목요일 밝혔다.
해커들은 “2026년 5월 12일까지 모든 것이 유출될 때까지 기다려야 한다”고 썼다.
Instructure는 이번 주에 일련의 사이버 보안 위반을 확인하고 웹 사이트에 상태 업데이트를 제공했습니다. 침해에는 이름, 이메일 주소, 학생 ID 번호, 사용자 메시지와 같은 식별 정보만 포함된 것으로 나타났으며 비밀번호, 생년월일, 정부 식별자 또는 금융 정보는 포함되지 않았습니다.
Instructure는 FAQ 페이지에서 4월 29일 Canvas에서 무단 활동을 처음 감지한 후 조사를 시작했으며 동일한 무단 행위자가 “일부 학생과 교사가 로그인했을 때 나타나는 변경 사항을 적용한” 후 목요일에 Canvas를 오프라인으로 전환했다고 확인했습니다. 그들은 배우가 일시적으로 폐쇄된 Free-for-Teacher 계정의 문제를 이용했다고 말했습니다.
NPR은 성명을 통해 “이제 완전히 온라인 상태로 돌아왔고 사용할 수 있는 캔버스에 대한 접근을 복원할 수 있다는 확신을 갖게 됐다”고 밝혔다. “이로 인해 불편을 끼쳐 드려 죄송합니다.”
Instructure가 몸값을 지불했는지 또는 해커의 마감 기한인 5월 12일에 Canvas 액세스가 다시 돌아오는 것이 무엇을 의미할 수 있는지는 확실하지 않습니다.
Tobac은 Canvas가 성공적인 협상으로 인해 또는 해커가 “공격에 그리 멀리 접근하지 못했기 때문에” 다시 온라인 상태가 될 수 있다고 말합니다. 어느 쪽이든 사용자는 특히 피싱 메시지에 대해 경계해야 한다고 말합니다. 누군가가 Canvas로 위장하여 비밀번호 변경을 요청하든, 교수인 척 가장하여 강의 자료를 보내는 것이든 말이죠.
“저는 여기에 연쇄 효과가 있을 것이라는 가정하에 운영할 것입니다”라고 그녀는 말합니다.
모든 사람이 즉시 온라인에 복귀하지는 않았습니다.
목요일 자정 직전에 Instructure는 “이제 대부분의 사용자가 Canvas를 사용할 수 있습니다”라고 온라인에 게시했습니다. 하지만 Canvas Beta와 Canvas Test라는 두 가지 별도 서비스는 유지 관리 모드로 남아 있습니다.
적어도 일부 학교의 학생과 교직원은 금요일에도 여전히 Canvas에 액세스할 수 없었습니다. 서비스가 아직 복원되지 않았거나 관리자가 접근하지 말라고 경고했기 때문입니다.
예를 들어, 펜실베이니아 주립대학교는 금요일 아침 학교의 캔버스 액세스가 부분적으로 복원되었지만 “아직 사용할 준비가 되지 않았다”고 말했습니다.
“Penn State의 기술 팀은 우리 커뮤니티를 위한 시스템을 준비하기 위해 적극적으로 노력하고 있습니다.”라고 덧붙였습니다. “액세스가 복원되면 Canvas 통합 및 관련 서비스가 단계적으로 다시 온라인 상태가 될 것입니다.”
몇몇 학교에서는 일시적으로 캔버스 액세스를 비활성화하거나 사용자에게 접근을 금지하도록 전면적으로 요청하는 등 유사한 접근 방식을 취했습니다. 캘리포니아 대학은 학교 전반에 걸쳐 “시스템이 안전하다고 확신할 때까지 캔버스 액세스가 복원되지 않을 것”이라고 밝혔습니다.
고등 교육뿐만이 아닙니다. 메릴랜드의 몽고메리 카운티 공립 학교 시스템은 금요일 아침에 가족들에게 서비스가 재개되었음에도 불구하고 “접속을 복원하기 전에 시스템을 계속 테스트하고 검토하고 있습니다”라고 경고했습니다.
Tobac은 이것이 공격자가 여전히 시스템 내에 있을 수 있고 잠재적으로 비밀번호나 메시지와 같은 정보를 훔칠 수 있다고 학교가 생각한다는 것을 의미할 수 있다고 말합니다.
“공격자는 아마도 일부 민감한 정보를 얻었을 것이며…(학교)는 이 정보가 온라인에 공개되는 것을 원하지 않습니다”라고 그녀는 말합니다.
많은 학교에서는 사용자에게 캔버스에서 오는 것으로 보이는 원치 않는 이메일이나 메시지, 특히 로그인 자격 증명을 요구하는 메시지에 대해 주의를 기울일 것을 촉구하고 있습니다. 피해를 입은 44개 네덜란드 교육 기관 중 하나인 암스테르담 대학교(University of Amsterdam)도 사람들에게 동일한 비밀번호를 사용하는 다른 사이트에서 비밀번호를 변경할 것을 권장합니다.
Tobac에서는 또한 로그인할 때마다 길고 무작위로 긴 비밀번호를 생성하기 위해 비밀번호 관리자를 사용하고 Canvas뿐만 아니라 모든 온라인 계정에 대해 다단계 인증을 설정할 것을 권장합니다. 그녀는 의심스러운 전화, 문자, 이메일을 받은 학생이나 교수는 “진짜인지 확인하기 위해 다른 의사소통 방법을 사용해야 한다”고 말했습니다.
“어제 위반이 없었더라도 저는 이것이 제가 여러분에게 권장하는 일이라고 말하고 싶습니다.”라고 그녀는 덧붙이며 사람들에게 “정중하게 편집증을 가지세요”라고 촉구했습니다.
위반으로 인해 결승전이 중단되고 취약점이 드러났습니다.
위반의 영향을 받은 몇몇 학교는 이미 일부 기말고사를 연기하거나 완전히 폐지했으며, 다른 학교에서는 학생과 교수에게 그렇게 해야 할 수도 있다고 경고했습니다.
일리노이 대학은 일요일까지 예정된 모든 기말고사와 과제를 연기합니다. Penn State는 목요일 밤과 금요일에 예정된 특정 시험을 취소하고 “최종 채점을 위한 다음 단계를 결정”하기 위해 교수진과 협력하고 있으며 그 동안 학생들에게 정기적으로 이메일(캔버스가 아님)을 확인하도록 촉구했습니다. 그리고 베일러 대학교는 금요일 시험을 연기하고 모든 교수진에게 학생들에게 “로컬 컴퓨터에 있는 모든 학습 자료를 가능한 한 빨리 학생들에게 보내달라”고 요청했습니다.
이번 침해 사고는 학계의 얼마나 많은 부분이 단일 중앙 집중식 플랫폼에 의존하고 있는지를 강조했습니다.
UPenn의 Linker는 NPR과의 인터뷰에서 목요일 오후 학생들이 월요일 기말고사 공부를 하려던 중 갑자기 PowerPoint, 읽기 자료 및 이전 시험에 액세스할 수 없게 되자 당황한 메시지가 쇄도했다고 말했습니다.
“Canvas와 같은 플랫폼을 사용할 때의 문제점은 대부분의 학생들이 읽은 내용을 인쇄하거나 노트북에 저장할 수 없다는 것입니다.”라고 그는 설명합니다. “모든 것이 온라인 플랫폼에 존재하며 해당 플랫폼이 다운되면 액세스할 방법이 없습니다.”
그는 금요일 아침까지 Canvas 액세스가 복원되지 않으면 강의 자료를 다른 플랫폼(Dropbox 또는 Google Docs 등)에 업로드하겠다고 목요일에 학생들에게 말했습니다. 다행스럽게도 그는 동부 표준시 기준 오전 9시 직전에 온라인으로 다시 돌아왔다고 말했습니다.
그러나 Linker는 앞으로 Canvas에 전적으로 의존하는 것에 대해 우려가 있다고 말합니다.
그는 “이번 사건으로 인해 노출된 취약성, 데이터 유출에 대한 우려를 고려할 때 이것이 정말로 현명한 진행 방법인지 다시 생각해 보기 시작했습니다”라고 말했습니다.
그 한 가지 예가 등급입니다. Linker는 Canvas를 사용하면 학생의 점수(개별 평가 및 전체 점수)를 매우 쉽게 계산하고 측정할 수 있어 디지털 성적표로 기능하게 되었다고 말합니다. 그는 앞으로는 만일의 경우를 대비해 학생들의 성적을 아날로그 기록으로 보관하기 시작할 수도 있다고 말했습니다.
Canvas에는 Blackboard와 같은 경쟁업체가 있지만 Linker는 어느 회사도 향후 침해에 덜 취약할 것이라고 생각하지 않는다고 말합니다. 그리고 담배도 이에 동의합니다.
“문제는 이 웹사이트에서 사이버 이벤트가 발생했다는 것이 아닙니다. 맞죠? 이 세상에 해킹할 수 없는 것은 없기 때문입니다.”라고 그녀는 말합니다. “우리가 생각해야 할 것은 재해 복구입니다. 사이버 이벤트가 발생했을 때 어떻게 비즈니스를 계속할 수 있으며, 악의적인 행위자를 차단하기 위해 최선을 다할 수 있는 방법은 무엇입니까?”
Tobac은 이번 주에 많은 교육 기관이 Canvas 없이 학생과 교수가 어떻게 연락하고 강의 자료에 접근할 수 있는지에 대한 명확한 계획이 없다는 것을 보여주었다고 말했습니다. 그녀는 이러한 계획은 학교의 다양한 상황과 일정에 따라 달라져야 한다고 말했습니다. 이는 일부는 평소대로 기말고사를 진행하는 반면 다른 일부는 시험을 완전히 취소하는 이유를 설명할 수 있습니다. 그러나 그녀는 그들이 하나의 공통된 목표를 가지고 즉각적인 여파에 접근하기를 원합니다.
“우리는 사람들을 존엄성과 존중으로 대해야 합니다”라고 Tobac은 말합니다. “그리고 나는 그것이 기관들이 자신들의 기한과 제약 내에서 하는 일이기를 바랍니다.”
