Rò rỉ dữ liệu Canvas LMS: những gì đã biết về dữ liệu bị lộ và con số 275 triệu

Điểm quan trọng nhất trong sự cố Canvas LMS là phải tách bạch giữa những gì đã được Instructure xác nhận và những gì đang là tuyên bố từ nhóm tống tiền ShinyHunters. Instructure, công ty đứng sau nền tảng học tập Canvas, đã xác nhận dữ liệu cá nhân của người dùng tại các cơ sở bị ảnh hưởng bị lộ; còn con số 3,65 TB dữ liệu, 275 triệu người và gần 9.000 cơ sở giáo dục hiện vẫn xuất phát từ tuyên bố của ShinyHunters, chưa phải số liệu do Instructure công bố .

Tóm tắt nhanh: điều gì đã rõ, điều gì còn phải chờ xác minh

Nội dung	Tình trạng công khai hiện nay
Dữ liệu được nêu là bị lộ	Tên, địa chỉ email, mã số học sinh/sinh viên và tin nhắn giữa người dùng Canvas .
Dữ liệu chưa thấy dấu hiệu bị ảnh hưởng	Theo các báo cáo dẫn thông tin từ Instructure, chưa có bằng chứng cho thấy mật khẩu, ngày sinh, định danh do nhà nước cấp hoặc thông tin tài chính bị liên quan .
Quy mô vụ việc	ShinyHunters nói có 3,65 TB dữ liệu, khoảng 275 triệu người và gần 9.000 cơ sở; Instructure chưa công bố số lượng người dùng hoặc cơ sở bị ảnh hưởng .

Vì vậy, con số 275 triệu nên được hiểu là tuyên bố chưa được xác nhận từ phía tấn công, không phải số người bị ảnh hưởng đã được kiểm chứng chính thức .

Những dữ liệu nào được nêu là bị lộ?

Các dữ liệu được nhắc đến công khai chủ yếu là thông tin định danh và nội dung trao đổi trong nền tảng. Theo BleepingComputer, Instructure mô tả dữ liệu liên quan gồm tên, địa chỉ email, mã số học sinh/sinh viên và tin nhắn giữa người dùng . Một số báo cáo khác cũng nêu cùng phạm vi cốt lõi này .

Cụ thể, các loại dữ liệu được nhắc đến gồm:

• Tên người dùng
• Địa chỉ email
• Mã số học sinh/sinh viên, tức student ID
• Tin nhắn giữa các người dùng Canvas

Những gì hiện chưa được ghi nhận là bị ảnh hưởng

SecurityPointBreak cho biết, theo Instructure, công ty chưa tìm thấy bằng chứng cho thấy mật khẩu, ngày sinh, định danh do nhà nước cấp hoặc thông tin tài chính bị ảnh hưởng . Daily.dev cũng tóm tắt tương tự: mật khẩu, dữ liệu tài chính và định danh nhà nước chưa được ghi nhận là liên quan trong thông tin hiện có .

Dù vậy, đây chưa phải kết luận cuối cùng. Instructure đưa ra các thông tin này trong lúc điều tra vẫn đang tiếp diễn, và nhiều báo cáo cũng nhấn mạnh quá trình xem xét sự cố chưa kết thúc .

Vì sao con số 275 triệu vẫn chưa thể coi là chắc chắn?

Đây là phần gây chú ý nhất, nhưng cũng là phần cần thận trọng nhất. ShinyHunters tuyên bố đã lấy được 3,65 TB dữ liệu và cho rằng khoảng 275 triệu học sinh, sinh viên, giáo viên và nhân sự khác tại gần 9.000 cơ sở giáo dục có thể bị ảnh hưởng .

Tuy nhiên, SecurityWeek nêu rõ Instructure chưa chia sẻ chi tiết về số cơ sở và số người dùng bị ảnh hưởng . Khi chưa có xác nhận từ Instructure hoặc từ một cuộc điều tra độc lập, con số 275 triệu không nên được xem là thống kê đã được xác minh.

Vì sao những dữ liệu này vẫn nhạy cảm?

Việc chưa thấy dấu hiệu mật khẩu hoặc dữ liệu tài chính bị lộ không có nghĩa là rủi ro thấp. Tên, email, mã số học sinh/sinh viên và tin nhắn có thể giúp kẻ xấu tạo ra các email hoặc tin nhắn lừa đảo trông đáng tin hơn, nhất là khi nội dung có nhắc đến trường, lớp, khóa học hoặc bối cảnh học tập cụ thể .

Với người dùng Canvas, các thông báo bất ngờ yêu cầu kiểm tra tài khoản, đổi thông tin đăng nhập hoặc bấm vào liên kết liên quan đến lớp học nên được xem xét kỹ. Cách an toàn hơn là mở Canvas qua địa chỉ chính thức của trường, đại học hoặc tổ chức của bạn, thay vì qua liên kết trong email hoặc tin nhắn lạ.

Người dùng Canvas nên làm gì lúc này?

Nếu bạn dùng Canvas thông qua trường học, đại học hoặc một tổ chức, nguồn thông tin quan trọng nhất là thông báo từ chính đơn vị đó. Từ các con số đang lưu hành công khai, hiện chưa thể kết luận chắc chắn một tài khoản hoặc một cơ sở cụ thể có nằm trong phạm vi ảnh hưởng hay không; Instructure mới nói đến người dùng tại các cơ sở bị ảnh hưởng và chưa công bố số lượng cụ thể .

Các bước nên làm:

• Theo dõi thông báo chính thức từ trường, đại học, tổ chức hoặc bộ phận CNTT.
• Không đăng nhập hoặc đổi thông tin tài khoản qua liên kết trong email, tin nhắn bất ngờ.
• Nếu cần kiểm tra tài khoản, hãy tự nhập địa chỉ chính thức hoặc dùng dấu trang đã lưu.
• Cảnh giác với email hoặc tin nhắn có nhắc đúng tên, mã số học sinh/sinh viên, lớp học hoặc bối cảnh học tập.
• Ưu tiên đổi mật khẩu nếu đơn vị của bạn yêu cầu, nếu thấy hoạt động lạ, hoặc nếu bạn đã dùng cùng mật khẩu đó ở nơi khác; theo thông tin công khai hiện tại, mật khẩu chưa được nêu là dữ liệu bị ảnh hưởng .

Kết luận

Điều đã được xác nhận là có sự cố dữ liệu liên quan đến Canvas/Instructure, với các loại dữ liệu được nêu gồm tên, địa chỉ email, mã số học sinh/sinh viên và tin nhắn giữa người dùng . Điều chưa được xác nhận là quy mô mà ShinyHunters đưa ra: 3,65 TB dữ liệu, 275 triệu người và gần 9.000 cơ sở giáo dục. Cho đến khi Instructure hoặc một nguồn điều tra độc lập xác minh, các con số này vẫn nên được coi là tuyên bố chưa kiểm chứng .