Canvas breach: obrazovni sustav na koljenima, podatci 275 milijuna ljudi na ulici

Dvjesto sedamdeset pet milijuna ljudi. To je broj koji se pojavljuje u ransom note na login stranici jedne obrazovne platforme, i to nije broj korisnika Netflixa u prvom kvartalu — to su studenti, profesori, administrativno osoblje, ljudi čiji su podatci upravo postali roba na crnom tržištu. A sve se srušilo zato što je netko zaboravio zakrpati rupu koju su stručnjaci prijavili prije osamnaest mjeseci. Osamnaest mjeseci. Toliko treba prosječnoj obrazovnoj IT infrastrukturi da procesuira jedan sigurnosni alert kroz tri razine menadžmenta, dva odbora i jedan sastanak na kojem se odlučuje tko će platiti novu licencu.

Platforma se zove Canvas, i ako nisi u obrazovnom sustavu, vjerojatno nikad nisi čuo za nju. Ali vjeruj mi — tvoja djeca, tvoja nećakinja, tvoj susjed koji studira u Osijeku, svi oni koriste Canvas. To je operacijski sustav modernog obrazovanja, ono što je Windows bio za 1990-e i što je Google Docs postao za korporativni svijet. Jedna platforma koja drži kurikulume, rokove, ocjene, osobne podatke, zdravstvene kartone studenata, financijske informacije o školarinama, čak i podatke o studentskim vizama za međunarodne studente. I ta jedna platforma upravo je pokazala svijetu što se dogodi kad staviš sva jaja u jednu košaru, a košaru povjeriš ljudima koji misle da je sigurnost trošak, a ne investicija.

Ono što je fascinantno — iako mrzim tu riječ, ali stvarno je — jest brzina kojom se cijeli sustav srušio. Ne mislim na tehnički krah, mislim na institucionalni. Škole su otkazale nastavu, fakulteti su poslali studente kući, ispiti su odgođeni, diplomski radovi su izgubljeni u eteru. U 2026. godini, obrazovni sustav najbogatije zemlje svijeta zaustavio se zato što je netko promijenio login stranicu. Nije trebala nuklearna elektrana, nije trebao zemljotres, nije trebala pandemija. Dovoljna je bila jedna grupa hakera s dovoljno vremena i jednim exploitom koji je bio javno dokumentiran.

I sad dolazi onaj dio koji boli više od samog napada. Podaci. Dvjesto sedamdeset pet milijuna ljudi. To nisu samo imena i emailovi. To su adrese, datumi rođenja, brojevi socijalnog osiguranja, podatci o studentskim kreditima, zdravstveni kartoni, psihološke evaluacije, čak i podatci o disciplinskim postupcima. Svaki od tih podataka je zasebna bomba. Za studenta koji se nadao stipendiji, za profesora koji je pisao kontroverzni rad, za administratorku koja je imala problema sa šefom. I sve je to sada u rukama ljudi koji su već dokazali da im ne treba puno da bi napravili štetu — samo su promijenili login stranicu i poslali poruku.

A najgore od svega? Nitko nije iznenađen. Ozbiljno, prošetaj kroz IT odjel bilo kojeg srednjeg sveučilišta i pitaj ih koliko je sigurnosnih propusta prijavljeno u zadnjih godinu dana. Dobit ćeš broj koji će te natjerati da razmisliš o tome kako tvoje dijete uopće ima pristup internetu. IT odjeli su kronično podfinancirani, osoblje je premalo, alati su zastarjeli, a menadžment misli da je sigurnost nešto što se kupi jednom godišnje kao što se kupi pretplata na antivirus. Samo što u stvarnom svijetu sigurnost nije proizvod, sigurnost je proces. I proces je propao.

Tu dolazimo do onog dijela koji mi smrdi više od pokvarenog servera u podrumu Kvarner Neta iz 1996. Ova platforma, Canvas, nije neka startup firma iz garaže. To je Instructure, kompanija koja je 2020. prodana za dvije milijarde dolara, koja ima profesionalni sigurnosni tim, koja prolazi kroz SOC 2 audite, koja se hvali svojim compliance standardima. I opet — propust. Jer kad imaš 275 milijuna korisnika i 9000 institucija, tvoja baza za napad nije više mala, tvoja baza za napad je cijeli obrazovni sustav jedne velike sile. I svaka rupa koju ne zakrpiš na vrijeme postaje autocesta za hakere.

Ali ono što je stvarno jebeno u cijeloj priči nije tehnička strana. To je ljudska. Zamisli studenta koji je četiri godine skupljao podatke za diplomski rad, koji je napisao 200 stranica analize, koji je imao rok za predaju za tri dana. I odjednom — ništa. Platforma je offline, podatci su zaključani, a hakeri traže otkupninu koju institucija neće platiti jer "to bi ohrabrilo napade". Taj student ne zna hoće li ikad vidjeti svoj rad. Ne zna hoće li diplomirati na vrijeme. Ne zna hoće li izgubiti posao koji je već dogovorio. I sve to zato što netko u IT odjelu nije zakrpao server.

Ili profesoricu koja je 15 godina gradila istraživačku bazu, koja je ima podatke iz terenskih istraživanja, intervjue, analize. Sve je bilo na Canvasu jer je "cloud sigurniji od lokalnog servera". I sad je sve zaključano, a hakeri prijete da će objaviti podatke ako institucija ne plati. I ta profesorica gleda kako joj se životni rad pretvara u pregovarački čip između kriminalaca i birokracije. Koji kurac.

Canvas breach nije samo sigurnosni incident. To je dijagnoza cijelog sustava. Obrazovne institucije su digitalizirale sve — kurikulume, ocjene, komunikaciju, administraciju — ali nisu digitalizirale sigurnost. Jer sigurnost košta. Jer sigurnost zahtijeva ljude. Jer sigurnost nije nešto što možeš kupiti na pretplatu i zaboraviti. Sigurnost je svakodnevni posao, kao čišćenje kuhinje u restoranu — ako ne pereš suđe svaku večer, neće ti pomoći ni najskuplji kuhinjski robot.

A najveća ironija? Ova platforma se zove Canvas. Platno. Prazno platno na kojem bi trebali nastajati novi svjetovi, ideje, budućnost. Ispostavilo se da je to platno bilo napisano tintom koja nestaje na prvom dodiru s vatrom. I sad cijeli obrazovni sustav gleda u prazno, pitajući se kako su došli do ovdje.

Odgovor je jednostavan. Prodali su sigurnost za brzinu. Prodali su privatnost za praktičnost. Prodali su budućnost za cijenu koja im se činila povoljnom. I sad plaćaju račun. Ne u dolarima, ne u eurima — u povjerenju koje se ne može vratiti.

Jedna konstanta u tech industriji je sposobnost ljudi da budu iznenađeni očekivanim.

Izvor: krebsonsecurity.com