Canvas 해킹 종결 — Instructure 랜섬 지불, 3.65TB 데이터 파기 확인

학습관리시스템(LMS) Canvas의 운영사 Instructure가 해커 그룹 ShinyHunters와 합의에 도달하고 비공개 금액의 랜섬을 지불했다. Instructure에 따르면 유출된 3.65TB, 2억 7,500만 건의 데이터는 파기가 확인됐다. 5월 1일 최초 침해부터 시작된 역대 최대 규모의 교육 데이터 유출 사건이 약 2주 만에 일단락됐다.

사건의 전개 과정은 급박했다. 5월 1일 침해 발생 후 5월 3일 랜섬 노트가 전달됐고, 5월 7일에는 330개 교육기관의 로그인 페이지가 변조(defacement)됐다. 초기 랜섬 요구가 거부되자 ShinyHunters는 학교별로 개별 협박을 시작하며 압박 수위를 높였다. 5월 12일 최종 기한을 하루 앞둔 5월 11일 합의가 이뤄졌고, 기한 당일 데이터 파기가 확인됐다. Instructure는 사건 기간 동안 투명성이 부족했다는 점에 대해 공식 사과했다.

8,800개 학교와 2억 7,500만 건의 기록이 영향을 받은 이번 사건은 교육 분야 역대 최대 데이터 유출로 기록됐다. 동시에 교육기관의 랜섬 지불이 적절한 대응인지에 대한 논쟁도 남겼다. 랜섬 지불이 데이터 추가 유출을 막을 수 있지만 해커 그룹에 수익 모델을 제공해 향후 공격을 부추길 수 있다는 비판이 거세다. 이번 사례가 교육 분야 사이버보안의 중요한 선례로 남게 될 전망이다.

FAQ

Instructure가 지불한 랜섬 금액은 얼마인가

공식적으로 금액은 공개되지 않았다. Instructure는 ShinyHunters와의 합의 내용 중 구체적 금액을 비공개로 처리했다.

유출된 데이터가 실제로 파기됐는지 어떻게 확인하나

Instructure는 파기를 '확인했다(confirmed destroyed)'고 발표했지만, 랜섬웨어 그룹의 데이터 파기 약속을 독립적으로 검증하는 것은 원천적으로 어렵다. 이 점이 랜섬 지불에 대한 논란의 핵심이기도 하다.

ShinyHunters의 학교별 개별 협박은 어떤 방식이었나

초기 랜섬 요구가 거부되자 ShinyHunters는 330개 교육기관의 로그인 페이지를 개별적으로 변조(defacement)하고, 학교별로 직접 협박하는 방식으로 압박을 강화했다.

교육기관이 랜섬을 지불하는 것이 올바른 결정인가

보안 전문가들 사이에서도 의견이 갈린다. 랜섬 지불은 데이터 추가 유출을 막을 수 있지만, 해커 그룹에 수익 모델을 제공해 향후 공격을 부추길 수 있다는 비판도 있다. 이번 사례가 교육 분야 랜섬 지불의 선례로 남게 됐다.

Canvas 해킹 종결 — Instructure 랜섬 지불, 3.65TB 데이터 파기 확인

FAQ

댓글