Bedrijf achter Canvas sluit deal met hackers, gestolen gegevens verwijderd

Het moederbedrijf van het gehackte onderwijsplatform Canvas heeft een akkoord gesloten met hackers van de groep ShinyHunters. Instructure zegt dat de gegevens die vorige week werden gestolen zijn verwijderd. Het bedrijf zegt niet of er losgeld is betaald, wat de hackers wel hadden geëist.

“Als onderdeel van de overeenkomst zijn de gegeven aan ons teruggestuurd en hebben we een digitale bevestiging gekregen van de vernietiging van de gegevens”, is te lezen in een verklaring(opent in nieuw venster) over de hack. “Ons is verteld dat er geen klanten worden afgeperst.”

Vorige week maakte Canvas bekend dat de gegevens van miljoenen docenten en studenten waren gestolen bij een grote hack. De onderwijssoftware van Canvas wordt onder meer op scholen en universiteiten gebruikt voor contact tussen docenten en studenten, zoals het inleveren van opdrachten of het inzien van lesmateriaal of cijfers.

Er waren gegevens zoals studentnummers, namen en e-mailadressen en berichten van 275 miljoen studenten, docenten en onderwijsmedewerkers wereldwijd buitgemaakt. In totaal waren volgens de hackers zo’n 9000 onderwijsinstellingen geraakt.

De hack werd opgeëist door ShinyHunters, de groep die ook achter de grote cyberaanval op telecomprovider Odido zit. Daardoor hadden criminelen toegang tot een bestand met de gegevens van 6,2 miljoen accounts. Odido betaalde geen losgeld, waarop de hackers alle klantdata publiceerden.

Eerder leek het erop dat Instructure niet van plan was om de hackers te betalen. ShinyHunters zei vervolgens dat onderwijsinstellingen die Canvas gebruiken zelf konden onderhandelen met de groep. Instructure zegt nu dat instellingen geen contact hoeven te zoeken met ShinyHunters.

In Nederland maken ook meerdere hogescholen en universiteiten gebruik van Canvas. Onduidelijk was of al deze onderwijsinstellingen allemaal waren getroffen door de hack. Wel waarschuwden verschillende hogescholen en universiteiten hun studenten en medewerkers voor pogingen tot online oplichting.

Een aantal dagen na de initiële hack wist ShinyHunters de applicatie, ondanks verbeterde veiligheidsmaatregelen, nogmaals te kraken. Bij deze digitale inbraak plaatsten de hackers een bericht waarin gemeld werd dat Instructure “in plaats van contact op te nemen om het op te lossen, ons heeft genegeerd en wat beveiligingspatches heeft doorgevoerd”.

Ook noemde ShinyHunters een nieuwe uiterste datum om te onderhandelen over de gegevens. Dat was vandaag, op 12 mei. Als Instructure voor die datum geen contact opnam, zouden de hackers de gestolen gegevens openbaar maken.

Aan dit dreigement lijkt het onderwijssoftwarebedrijf gehoor te hebben gegeven. “Hoewel er nooit volledige zekerheid is bij de bestrijding van cybercriminelen, vonden we het belangrijk om alle mogelijke stappen te ondernemen om klanten voor zover mogelijk extra gemoedsrust te bieden”, aldus Instructure.