"עשו להם בית ספר": מתקפת סייבר שיבשה מוסדות חינוך רבים ברחבי העולם

מתקפת סייבר על מערכת הלמידה Canvas גרמה לשיבושים במוסדות חינוך והשכלה גבוהה ברחבי העולם, בתקופה רגישה שבה מוסדות רבים מנהלים בחינות, הגשות ומטלות סיום. Canvas, שמופעלת על ידי חברת Instructure, משמשת בתי ספר, מכללות ואוניברסיטאות לניהול קורסים, חומרי לימוד, ציונים, מטלות, סרטוני שיעור ותקשורת בין תלמידים, סטודנטים וסגלי הוראה.

לפי עדכוני החברה והודעות מוסדות חינוך, האירוע כלל פגיעה במערכות הקשורות לשירות ושיבושים בגישה לפלטפורמה. אתמול (חמישי) הועברה Canvas למצב תחזוקה לפרק זמן מסוים, והיום (שישי) נמסר כי השירות חזר להיות זמין לרוב המשתמשים. עם זאת, חלק מהרכיבים, ובהם סביבות בדיקה וגרסאות ניסיון, עדיין נותרו בתחזוקה, ובכמה מוסדות נמשכו הגבלות גישה מטעמי זהירות עד להשלמת הערכות הסיכון המקומיות.

Instructure מסרה כי מדובר באירוע סייבר שבוצע בידי גורם פלילי, וכי הבדיקה נערכת בסיוע מומחי אבטחת מידע חיצוניים. לפי ממצאי הביניים שפרסמה החברה, המידע שנחשף במוסדות שנפגעו עשוי לכלול פרטי זיהוי מסוימים של משתמשים, ובהם שמות, כתובות דואר אלקטרוני, מספרי סטודנט והודעות בין משתמשים. בשלב זה נמסר כי לא נמצאו ראיות לחשיפת סיסמאות, תאריכי לידה, מזהים ממשלתיים או מידע פיננסי.

קבוצה המזוהה בשם ShinyHunters ייחסה לעצמה אחריות לאירוע וטענה כי בידיה מידע בהיקף רחב ממוסדות רבים. עם זאת, יש להתייחס לטענות הקבוצה בזהירות: זהות התוקפים, היקף הפגיעה המדויק, מספר המשתמשים שנפגעו והיקף הנתונים שנגנבו אינם מאומתים במלואם, וצפויים להתברר רק לאחר השלמת הבדיקה הטכנית והודעות פרטניות למוסדות הרלוונטיים.

הפגיעה ב-Canvas מדגישה את התלות הגוברת של מוסדות חינוך בתשתיות דיגיטליות מרכזיות. כאשר פלטפורמה אחת משמשת לניהול שיעורים, בחינות, הגשת עבודות ותקשורת שוטפת, כל שיבוש בה עלול להשפיע במהירות על שגרת הלימודים של תלמידים, סטודנטים וסגל הוראה במדינות רבות.

בכמה מוסדות דווח על התאמות נקודתיות בעקבות השיבושים, ובהן דחיית בחינות, הארכת מועדי הגשה או מעבר זמני לערוצי תקשורת חלופיים. במקרים אחרים נבחר להמשיך את הפעילות תחת מגבלות עד להתבהרות מצב השירות. בשלב זה אין תמונה אחידה לגבי היקף ההשפעה בכל מדינה או מוסד, משום שכל מוסד מפעיל את Canvas באופן שונה ומקבל החלטות בהתאם לרמת החשיפה שלו ולמדיניות אבטחת המידע המקומית.

בישראל לא פורסם בשלב זה מידע רשמי המעיד על פגיעה במוסדות חינוך או השכלה גבוהה בעקבות האירוע. ככל שמוסדות ישראליים משתמשים בשירותים של Canvas, ההשפעה עליהם תלויה בתצורת השימוש המקומית, במידע שנשמר במערכת ובצעדי הזהירות שננקטו על ידי הנהלות המוסדות וספקי השירות.

האירוע צפוי להגביר את הדיון על חוסן דיגיטלי במערכת החינוך. מוסדות חינוך ואקדמיה נדרשים לא רק להגן על מערכותיהם, אלא גם להכין מראש תוכניות המשכיות הוראה: ערוצי קשר חלופיים עם תלמידים וסטודנטים, גיבוי לחומרי לימוד חיוניים, מדיניות ברורה להארכת מועדים בעת תקלה ונוהל מסודר למסירת עדכונים לציבור המשתמשים.

לצד ההיבט התפעולי, שאלת פרטיות המשתמשים נמצאת במוקד. מערכות למידה מחזיקות לעיתים מידע אישי, תכתובות פנימיות, נתוני קורסים ותיעוד פעילות לימודית. גם כאשר לא נחשפות סיסמאות או פרטים פיננסיים, חשיפה של שמות, כתובות דואר אלקטרוני, מספרי סטודנט והודעות יכולה לשמש לניסיונות התחזות, דיוג ופנייה ממוקדת למשתמשים.

ההמלצה למשתמשים ולמוסדות בשלב זה היא להסתמך על הודעות רשמיות של המוסד ושל ספק השירות, להיזהר מהודעות חשודות שמתחזות לעדכוני Canvas, לא ללחוץ על קישורים לא מוכרים ולהפעיל אימות רב-שלבי בחשבונות שבהם הדבר אפשרי. מוסדות שנפגעו צפויים לקבל מידע פרטני מהחברה בהתאם לממצאי החקירה.

השאלות המרכזיות שנותרו פתוחות הן היקף המוסדות שנפגעו בפועל, מספר המשתמשים שפרטיהם נחשפו, מידת ההשפעה על לוחות הזמנים האקדמיים והאם יתפרסמו הנחיות רגולטוריות במדינות שונות. עד להשלמת הבדיקות, יש להתייחס לאירוע כאל אירוע סייבר בינלאומי מתפתח בעל השלכות תפעוליות ופרטיות משמעותיות על עולם החינוך הדיגיטלי.