最近有個(gè)挺離譜的事。教育科技公司 Instructure 被黑客組織 ShinyHunters 連續(xù)兩次攻破系統(tǒng),最后居然跟黑客達(dá)成了"協(xié)議"——不是報(bào)警抓人,而是談判贖回了約 2800 萬用戶的泄露數(shù)據(jù)。更離譜的是,這操作直接跟 FBI 的官方建議對著干。
事情是這樣的。ShinyHunters 這個(gè)月早些時(shí)候第二次入侵了 Instructure 的系統(tǒng),從他們的云端學(xué)習(xí)管理平臺(tái) Canvas 里拖走了幾百 GB 的數(shù)據(jù)。這個(gè)平臺(tái)很多人可能沒聽過,但在國外教育圈幾乎是標(biāo)配,全球大概有 2800 萬用戶在用,從 K12 到大學(xué)都在跑。這次泄露的信息包括用戶名、郵箱地址,還有用戶的私人消息內(nèi)容。
![]()
黑客那邊放話了:5 月 12 號(hào)之前不聯(lián)系,數(shù)據(jù)就直接公開。結(jié)果這家公司還真聯(lián)系了。根據(jù) TechCrunch 的報(bào)道,公司現(xiàn)在已經(jīng)拿到了"數(shù)據(jù)已銷毀的數(shù)字確認(rèn)(粉碎日志)",以及黑客的書面保證——"不會(huì)有任何客戶因此事被勒索,無論是公開還是其他方式"。數(shù)據(jù)確實(shí)還回來了,但公司沒透露具體付出了什么代價(jià),錢給沒給、給了多少,一概保密。
這里有個(gè)特別諷刺的點(diǎn)。FBI 的勒索軟件指南寫得明明白白:"不支持支付贖金"。上周 FBI 還在 X 上專門發(fā)了條帖子,雖然沒點(diǎn)名,但措辭很直接:"如果有人直接聯(lián)系你聲稱持有你的數(shù)據(jù),我們建議你不要付款或回應(yīng)對方的要求。"
結(jié)果這家公司轉(zhuǎn)頭就跟黑客簽了協(xié)議,還發(fā)了公告說"雖然跟網(wǎng)絡(luò)罪犯打交道永遠(yuǎn)沒法完全確定,但我們認(rèn)為有必要采取一切可控措施,盡可能讓客戶安心"。這話翻譯一下大概是:我知道 FBI 不讓給,但我不給的話 2800 萬用戶的數(shù)據(jù)就真漏了,我只能賭一把。
ShinyHunters 這組織最近挺活躍。除了這次事件,他們還號(hào)稱攻破了英偉達(dá)的 GeForce Now,聲稱"直接從后端拉了整個(gè)數(shù)據(jù)庫"。上個(gè)月還勒索過 R 星,威脅要放 GTA 6 的東西,后來被發(fā)現(xiàn)其實(shí)手里沒多少干貨。所以這回到底付沒付錢、付了多少,外界完全不知道,但黑客這次倒是履約了——數(shù)據(jù)還了,保證書也寫了,至少表面上看起來比 R 星那次專業(yè)。
Instructure 說后續(xù)會(huì)開個(gè)網(wǎng)絡(luò)研討會(huì),講講攻擊細(xì)節(jié)和系統(tǒng)加固措施。但眼下最尷尬的問題可能是:如果其他被勒索的公司都學(xué)這招,F(xiàn)BI 的"不要付錢"建議還有多大說服力?畢竟 2800 萬用戶的數(shù)據(jù)擺在那兒,換誰當(dāng) CEO 可能都得掂量掂量。
特別聲明:以上內(nèi)容(如有圖片或視頻亦包括在內(nèi))為自媒體平臺(tái)“網(wǎng)易號(hào)”用戶上傳并發(fā)布,本平臺(tái)僅提供信息存儲(chǔ)服務(wù)。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.