学習管理システム（LMS）「Canvas」を提供するInstructure社は、同社のクラウドホスティング環境に影響を及ぼしたサイバーインシデントおよびそれに伴うデータ漏洩を確認した。
ランサムウェアグループ「ShinyHunters」は、今回の攻撃の犯行を自供し、学生、教員、職員に関連する約2億7500万件の記録を盗み出したと述べている。
犯行グループは、BleepingComputerに対し、Canvasのインスタンスが影響を受けたと主張する8,809の学区、大学、オンライン教育プラットフォームのリストを提供した。各機関ごとの記録数は、数万件から数百万件に及ぶ。
個人データが漏洩していないか確認してください。
お子様のInstructure/Canvasのデータが流出した場合の対応について
お子様がInstructureの情報漏洩の影響を受けたと連絡を受けた場合、お子様を守るために何ができるかお悩みかもしれません。すぐに実践できる具体的な対策をいくつかご紹介します。
1. 学校とInstructureの発表内容を確認する
まず、学校や学区からの通知、およびInstructure社からの最新情報に目を通し、お子様のどのようなデータが影響を受けたか（例：氏名、メールアドレス、学生ID、受講科目情報など）を確認してください。学生アカウントに関して推奨されている具体的な手順に従い、新たな情報が明らかになる可能性もあるため、今後の連絡にも注意を払ってください。
何よりもまず、その通知が本物かどうかを確認してください。メッセージの中に、不審なリンクや「今すぐ対応してください」といった急かしの文言、追加情報の提供を求める内容など、不審な点がある場合は、まずこれを確認してください。学区またはInstructureのサイトに直接アクセスし、そこに記載されている連絡先を利用して確認してください。
2. お子様の学校や学習用のアカウントをロックしてください
お子様がCanvasまたは関連サービスのアカウントをお持ちの場合は、直ちにパスワードを変更してください。特に、学校側がシングルサインオンではなく、ユーザー名とパスワードでのログインを許可している場合は注意が必要です。また、お子様がパスワードを流用する傾向がある場合（例えば、Canvas、メール、ゲームアカウントなどで同じパスワードを使用している場合など）、それらのパスワードも併せて変更してください。
すべてのアカウントに、強固で固有のパスワードを設定し、記憶に頼らずに作成・保存できるよう、家族用のパスワード管理ツールの利用を検討してください。幼いお子さんの場合は、保護者が代わりに認証情報を管理し、お子さんが利用している教育プラットフォームの一覧を作成しておくことをお勧めします。
3. 可能な場合は、多要素認証を有効にしてください
多要素認証（MFA）を導入すれば、パスワードだけではアカウントにログインすることがはるかに難しくなります。学校や学区が保護者や生徒のアカウントで多要素認証（例：SMSやメールで送信されるコード、認証アプリで生成されるコードなど）を許可している場合は、これを有効にし、できれば、ご自身が管理している端末やアプリにコードが届くように設定してください。
お子さんに、セキュリティコードは一時的なパスワードのようなものだと伝えてください。たとえメッセージが緊急を要するように見えたり、学校のロゴが使われていたりしても、友人や先生、あるいは「ITサポート」を名乗る人物には、決してそのコードを教えないようにしてください。
4. 未成年者に対する追加の個人情報保護策を検討する
情報漏洩の対象に極めて機密性の高い識別情報（一部の地域における国民ID番号や社会保障番号など）が含まれている場合は、学校および情報漏洩が発生したサービス提供者の双方に対し、未成年者向けの保護措置（信用情報モニタリングや身元回復サービスなど）について確認してください。国によっては、未成年者の名義で新たな口座が開設されるのを防ぐため、その記録に対して信用情報の凍結や同様の制限措置を講じることができる場合もあります。
たとえお子さんがまだ年齢が若く、現時点で信用情報がないとしても、この出来事を記録として残しておく価値はあります。そうすれば、お子さんが十分な年齢になった際に、必ず記録を確認するよう忘れないで済むからです。
5. 二次的な詐欺に注意してください
攻撃者は、教育プラットフォームから盗んだデータを再利用し、実際の学校名や教師名、授業名を挙げることで、フィッシングや詐欺メールをより説得力のあるものにする傾向があります。学校、学区、またはInstructureを名乗り、ログイン情報の「確認」を求めたり、「新しい課題」などの予期せぬ添付ファイルを開くよう促したり、通常とは異なる方法で料金の支払いを要求したりするメールやテキストメッセージには、特に注意してください。
大まかな目安として、この情報漏洩に関する不審なメール内のリンクはクリックしないようにしましょう。代わりに、新しいブラウザウィンドウを開き、普段通り公式サイトやアプリにアクセスしてから、そこからログインしてメッセージを確認してください。
サイバー犯罪者はあなたについて何を知っているのか？
Malwarebytes無料デジタルフットプリントスキャン を利用して、 個人情報がオンライン上で漏洩していないか確認してください 。
