Instructure Konfirmasi Kebocoran Data, Grup Hacker ShinyHunters Klaim Bertanggung Jawab

Instructure, raksasa teknologi pendidikan (EduTech) asal Amerika Serikat yang dikenal sebagai pengembang sistem manajemen pembelajaran Canvas, secara resmi telah mengonfirmasi bahwa data penggunanya dicuri dalam sebuah serangan siber. Tak lama setelah pengumuman tersebut, kelompok peretas (hacker) pemeras terkenal, ShinyHunters, muncul dan mengklaim bertanggung jawab atas pembobolan masif ini.

Konfirmasi dari Pihak Instructure

Pada hari Jumat, Instructure awalnya mengumumkan bahwa mereka sedang menyelidiki sebuah insiden keamanan siber dengan bantuan pakar forensik pihak ketiga. Sehari berselang, perusahaan merilis pembaruan yang mengonfirmasi bahwa informasi pribadi pengguna memang telah terekspos.

“Sementara kami terus menyelidiki secara aktif, sejauh ini, indikasi menunjukkan bahwa informasi yang terlibat terdiri dari informasi pengenal tertentu dari pengguna di institusi yang terdampak, seperti nama, alamat email, dan nomor identitas siswa (Student ID), serta pesan di antara para pengguna,” tulis Instructure dalam pernyataan terbarunya.

Perusahaan menekankan bahwa sejauh ini belum ada bukti yang menunjukkan bahwa data sangat sensitif seperti kata sandi (password), tanggal lahir, nomor identitas pemerintah, atau informasi keuangan finansial ikut diretas.

Sebagai langkah mitigasi dan pencegahan, Instructure telah menyebarkan patch (tambalan), meningkatkan pemantauan sistem, dan melakukan rotasi kunci aplikasi (application keys). Akibatnya, pelanggan kini diharuskan untuk mengotorisasi ulang akses ke API Instructure agar kunci aplikasi yang baru dapat diterbitkan.

Klaim Masif dari ShinyHunters

Sementara Instructure belum menanggapi pertanyaan mengenai kapan tepatnya pelanggaran ini terjadi dan apakah mereka sedang diperas, grup ShinyHunters telah mencantumkan nama perusahaan tersebut di situs pemerasan data mereka dengan klaim yang sangat mencengangkan.

Berikut adalah rincian klaim dari pihak peretas di situs web gelap mereka:

• Target Terdampak: Hampir 9.000 sekolah di seluruh dunia.
• Jumlah Data: 275 juta data individu (mencakup siswa, guru, dan staf lainnya) yang berisi PII (Personally Identifiable Information).
• Isi Data Tambahan: Miliaran pesan pribadi antara siswa-guru maupun siswa-siswa.
• Sistem Lain yang Dibobol: Aktor ancaman mengklaim bahwa instance Salesforce milik Instructure juga berhasil diretas, sehingga ada lebih banyak data yang terlibat.

ShinyHunters mengklaim bahwa pencurian ratusan juta data (lebih dari 240 juta catatan menurut peretas) tersebut dilakukan dengan mengeksploitasi sebuah kerentanan di dalam sistem Instructure—yang saat ini diakui peretas sudah ditambal oleh perusahaan.

Data sampel yang dibagikan oleh kelompok peretas tersebut mengindikasikan bahwa set data yang dicuri mencakup data dari hampir 15.000 institusi yang di-hosting di berbagai wilayah geografis utama, termasuk Amerika Utara, Eropa, dan Asia-Pasifik. Hingga saat ini, belum ada konfirmasi independen yang memverifikasi sekolah mana saja yang terdampak dan seberapa akurat angka klaim dari ShinyHunters tersebut.