ShinyHunters, Canvas LMS 재공격 — 9,000개 학교 데이터 유출 협박

2차 침해와 협박

세계 최대 학습관리시스템 중 하나인 Canvas를 운영하는 Instructure가 ShinyHunters 그룹으로부터 두 번째 사이버 공격을 받았다. 이 그룹은 전 세계 약 9,000개 학교에서 2억 3,100만 명의 개인정보를 탈취했다고 주장하며 5월 12일까지 합의가 없으면 데이터를 공개하겠다고 협박했다.

공격 방식과 탈취 데이터

해커들은 여러 학교의 Canvas 로그인 페이지를 변조해 협박 메시지를 심었다. 탈취된 데이터에는 학생 이름, 개인 이메일 주소, 교사와 학생 간 비공개 메시지가 포함된 것으로 알려졌다. 첫 번째 침해는 5월 5일 공개됐으며 이번 공격은 그로부터 이틀 만에 발생했다.

Instructure의 대응

Instructure 측은 해커들이 무료 교사 계정과 관련된 문제를 악용했다고 밝히며 해당 계정들을 일시적으로 차단했다. 이후 Canvas는 완전히 복구되어 다시 운영 중이다.

교육 섹터의 사이버 보안 취약성

금전적 동기로 움직이는 ShinyHunters는 2020년 이후 수십 개의 주요 기업을 공격한 그룹이다. 교육 부문 플랫폼이 방대한 학생 데이터를 보유하면서도 보안 투자가 뒤처지는 현실을 이번 연속 공격이 드러냈다.