De Canvas-hack van afgelopen mei ligt bij veel studenten nog vers in het geheugen. Het was dan ook best even schrikken toen bleek dat cybercriminelen een succesvolle aanval hadden gepleegd op de digitale leeromgeving. Hoewel Canvas inmiddels weer naar behoren werkt, heeft de hack wel degelijk haar sporen achtergelaten. Tot op de dag van vandaag hebben veel studenten nog last van de gevolgen.
De Canvas-hack
ShinyHunters, de hackersgroep die ook achter het Odido-lek zit, voerde in mei een geslaagde aanval uit op het Amerikaanse Instructure. Dat is het moederbedrijf achter Canvas. Naar schatting werden daarbij gegevens van 275 miljoen studenten wereldwijd buitgemaakt. Het ging daarbij om namen, e-mailadressen en studentennummers, maar ook om berichten die via het platform werden uitgewisseld.
Ook in Nederland werd de hack gevoeld. Veertig onderwijsinstellingen werden getroffen, waaronder de Universiteit van Amsterdam, Tilburg University en Universiteit Twente. Uit voorzorg werd de Canvas-app in veel gevallen geblokkeerd en werd het platform offline gehaald. Of er uiteindelijk losgeld aan de hackersgroep werd betaald, is nog steeds onduidelijk. Maar uiteindelijk is er wel een akkoord gesloten en zijn de buitgemaakte gegevens weer teruggegeven. Behoorde jij ook tot de slachtoffers? Met een datalek check kom je er snel achter of jouw gegevens ook op het internet circuleren.
Gegevensdiefstal: een schat aan informatie
Je kunt je daarbij afvragen of zo’n criminele bende ook echt alle gegevens heeft overhandigd. Betrouwbaarheid is nu niet bepaald het sterkste punt van hackers. Als de gegevens niet meteen geld opleveren in de vorm van losgeld, worden ze gewoon doorverkocht aan de hoogste bieder. En op het dark web wordt er flink gehandeld in grote databestanden. Namen, adressen, geboortedata, betaalinformatie en inloggegevens vinden daar gretig aftrek, omdat ze op veel manieren misbruikt kunnen worden. We geven een paar voorbeelden:
Phishingaanvallen
Met een e-mailadres en een beetje persoonlijke informatie kunnen cybercriminelen al snel iemands vertrouwen wekken. Ze sturen berichten namens iemand of een instantie die het slachtoffer kent. Het kan gaan om een e-mail, maar ook sms-berichten en zelfs telefoontjes kunnen pogingen tot phishing zijn. Het doel is om het slachtoffer iets te laten doen. Bijvoorbeeld een link aanklikken die naar een website leidt waar het slachtoffer gegevens moet invullen. Of een betaallink zodat het slachtoffer meteen geld kan overmaken. Maar het bericht kan ook een bijlage bevatten waarmee malware wordt geïnstalleerd zodra de bijlage wordt geopend.
Accountovername
Heeft een hacker een e-mailadres, gebruikersnaam en misschien zelfs een wachtwoord in handen weten te krijgen? Dan is het overnemen van je account een fluitje van een cent. Als de hacker eenmaal binnen is, zal deze meteen je instellingen en wachtwoord veranderen. Het wordt dan heel lastig om je account weer terug te krijgen.
Hergebruikte wachtwoorden
Heb je het wachtwoord van het overgenomen account ook voor andere accounts gebruikt? Dan is het hek helemaal van de dam. Helaas komt het nog steeds veel te vaak voor dat mensen hun wachtwoord hergebruiken. Ze lopen daarmee een reëel risico dat ze de toegang tot meerdere accounts verliezen.
Identiteitsfraude
Hackers kunnen niet alleen bestaande accounts overnemen, maar ook namens het slachtoffer nieuwe accounts aanmaken. Ze stelen iemands identiteit om strafbare feiten mee te plegen. Zo kunnen ze bijvoorbeeld een account aanmaken bij een webshop en allerlei dure spullen bestellen. Het slachtoffer ontvangt geen spullen, maar wel de rekening.
Persoonlijke en academische gegevens openbaar maken
Het is al erg genoeg dat een hacker van alles over je weet. Maar deze kennis kan de hacker ook aan de grote klok hangen. Misschien heeft hij of zij iets ontdekt waarmee je gechanteerd kunt worden. Ook vertrouwelijke rapporten, onderzoeksresultaten en blauwdrukken kunnen zo in de verkeerde handen vallen.
Je gegevens zijn gelekt. Wat nu?
Datalekken komen helaas veel voor. Om misbruik van je gegevens zoveel mogelijk te voorkomen, kun je de volgende stappen nemen:
- Wijzig je wachtwoord. Verander meteen je wachtwoord. Als je te lang wacht, kun je straks misschien helemaal niet meer inloggen op je account. Controleren accounts op verdachte activiteit. Worden er ineens berichten namens jou geplaatst of kun je je niet herinneren dat je je privacyinstellingen onlangs hebt aangepast? Neem dan meteen contact op met de beheerder van het account.
- Wees alert op phishing. Vooral in de maanden na het datalek zal het aantal phishingberichten toenemen. Controleer of de e-mailadressen van zulke berichten wel kloppen en klik vooral niets aan.
Conclusie
De Canvas-hack blijft veel slachtoffers bezighouden. Het incident laat zien dat ook goed beveiligde systemen kwetsbaar kunnen zijn. Vooral de hoeveelheid vertrouwelijke gegevens die is buitgemaakt, is zorgwekkend.
Een datalek kun je zelf vaak niet voorkomen. Je bent afhankelijk van hoe zorgvuldig organisaties met je gegevens omgaan, en dat gaat helaas niet altijd goed. Daarom is het belangrijk om zelf altijd alert te blijven en berichten goed te controleren voordat je ergens op ingaat.