Gegevens van duizenden Nederlandse studenten gestolen door Canvas-hack

Na een grootschalige cyberaanval op het digitale onderwijsplatform Canvas zijn persoonsgegevens van duizenden Nederlandse studenten en medewerkers mogelijk in handen gekomen van hackers. De aanval wordt in verband gebracht met het beruchte hackerscollectief ShinyHunters, dat eerder internationaal in opspraak kwam vanwege meerdere grote datalekken, waaronder aanvallen op telecombedrijven en online platforms.

Volgens openbaar gemaakte informatie zouden meer dan 44 Nederlandse onderwijsinstellingen getroffen zijn. Op lijsten die online circuleren worden onder andere de Universiteit van Amsterdam, Hogeschool Utrecht en De Haagse Hogeschool genoemd. Ook Belgische onderwijsinstellingen zouden mogelijk doelwit zijn geweest.

Canvas, een veelgebruikt digitaal leerplatform van het Amerikaanse softwarebedrijf Instructure, wordt door scholen en universiteiten gebruikt voor onder meer online lessen, communicatie tussen studenten en docenten, opdrachten, cijfers en studiemateriaal. Door de centrale rol van het systeem kan een datalek grote gevolgen hebben voor onderwijsinstellingen en hun gebruikers.

Bij de aanval zouden verschillende soorten persoonsgegevens zijn buitgemaakt. Het gaat volgens de beschikbare informatie onder meer om:

• volledige namen van studenten en medewerkers;
• e-mailadressen;
• student- en personeelsnummers;
• interne berichten en communicatie binnen Canvas;
• mogelijk cursus- en accountinformatie.

Vooralsnog zijn er geen aanwijzingen dat wachtwoorden, betaalgegevens of kopieën van identiteitsbewijzen zijn gestolen. Toch benadrukken cybersecurityspecialisten dat de buitgemaakte gegevens voldoende kunnen zijn voor gerichte phishingaanvallen, identiteitsfraude en andere vormen van digitale oplichting.

Onderwijsinstellingen in Nederland en België waarschuwen studenten daarom om extra alert te zijn op verdachte e-mails, sms-berichten en telefoontjes. Cybercriminelen kunnen de gestolen informatie gebruiken om overtuigende nepberichten te sturen die afkomstig lijken van een onderwijsinstelling, studieloket of IT-afdeling. Studenten wordt aangeraden nooit zomaar op links te klikken, geen persoonlijke gegevens via e-mail te delen en waar mogelijk tweestapsverificatie in te schakelen.

ShinyHunters claimt dat wereldwijd gegevens van ongeveer 275 miljoen gebruikers van Canvas zijn buitgemaakt, waaronder studenten, docenten en andere onderwijsmedewerkers. De volledige omvang van het lek wordt nog onderzocht. Verschillende instellingen zijn inmiddels gestart met interne controles en aanvullende beveiligingsmaatregelen om verdere schade te beperken.

Cybersecurity-experts wijzen erop dat onderwijsinstellingen steeds vaker doelwit zijn van cyberaanvallen. Universiteiten en hogescholen verwerken grote hoeveelheden persoonsgegevens en onderzoeksdata, terwijl hun systemen vaak toegankelijk moeten blijven voor grote aantallen gebruikers. Dat maakt de onderwijssector aantrekkelijk voor hackers en cybercriminelen.

De komende periode zullen getroffen instellingen waarschijnlijk verdere analyses uitvoeren om vast te stellen welke gegevens precies zijn gelekt en welke personen mogelijk risico lopen. Studenten en medewerkers wordt geadviseerd hun accounts goed in de gaten te houden en verdachte activiteiten direct te melden bij hun onderwijsinstelling of IT-afdeling.

Door: Drifter