Los miembros de la Cámara de Representantes de Estados Unidos están pidiendo a los representantes del fabricante de software educativo Instructure, dos veces pirateado, que testifiquen sobre la respuesta de la compañía a un ciberataque en el que los piratas informáticos robaron los datos personales de millones de estudiantes en todo el mundo.
El Comité de Seguridad Nacional de la Cámara de Representantes, que tiene jurisdicción sobre las actividades gubernamentales relacionadas con la seguridad nacional, investiga los ataques y las violaciones de datos, dijo el presidente del comité, el representante Andrew Garbarino, en una carta al director ejecutivo de Instruct, Steve Daley. Se llamó a la agencia estadounidense de ciberseguridad CISA para ayudar en el caso.
En una carta citada por TechCrunch, Garbarino dijo que la comisión está buscando el testimonio de Daly para determinar cómo los piratas informáticos penetraron repetidamente en los sistemas de Infraestructura y qué tipo de datos fueron robados. La carta también dice que los legisladores quieren saber cómo está respondiendo la empresa al ataque, notificar a las escuelas afectadas e investigar si es apropiado trabajar con CISA.
Instructor, que fabrica el popular software de portal de información escolar Canvas, ha sido criticado por su respuesta al ataque, particularmente después de que los piratas informáticos admitieron haber explotado la misma vulnerabilidad para robar grandes cantidades de datos confidenciales de los estudiantes y desfigurar las páginas de inicio de sesión de la escuela.
La compañía confirmó esta semana que había «llegado a un acuerdo» con los piratas informáticos y afirmó que había proporcionado pruebas de que los piratas informáticos habían eliminado los datos que habían robado. Un representante de los piratas informáticos ShinyHunters le dijo a TechCrunch que no tienen intención de continuar extorsionando a la empresa ni a sus clientes, pero se negó a decir cuánto pagó la empresa en rescate.
Los expertos en seguridad han argumentado durante mucho tiempo que pagar a los piratas informáticos sólo financia ataques futuros. Se sabe que los piratas informáticos conservan los datos robados incluso después de afirmar que los han eliminado, a menudo con la esperanza de extorsionar a la víctima nuevamente.
Garbarino dijo que la segunda infracción por parte del mismo hacker plantea «serias dudas sobre la capacidad de la empresa para responder a incidentes y sus obligaciones con las instituciones e individuos que poseen sus datos».
«La escala y el momento de la violación de la infraestructura, y la incapacidad de los principales proveedores de tecnología educativa para contener a los atacantes después de la violación inicial, son precisamente los tipos de vulnerabilidades sistémicas que este comité es responsable de investigar», escribió Garbarino en la carta.
Instructure aún no ha dicho si responderá a la carta o si Daly o su jefe de ciberseguridad testificarán.
El portavoz de Instructure, Brian Watkins, no respondió a la solicitud de comentarios de TechCrunch el miércoles.
Si compra a través de enlaces en nuestros artículos, es posible que ganemos una pequeña comisión. Esto no afecta la independencia editorial.
Source link
