Infinite Campus被黑：1100萬(wàn)學(xué)生數(shù)據(jù)遭勒索

3月18日，一名黑客潛入了美國(guó)最大校園信息系統(tǒng)之一的員工賬戶。18分鐘后被發(fā)現(xiàn)踢出，但已經(jīng)足夠讓1100萬(wàn)學(xué)生的家長(zhǎng)收到一封措辭謹(jǐn)慎的道歉信。

這是Infinite Campus的劇本——全美45個(gè)州、超過(guò)2000個(gè)學(xué)區(qū)用的學(xué)生信息系統(tǒng)（SIS，Student Information System）。從成績(jī)查詢(xún)到午餐賬戶，家長(zhǎng)每天打開(kāi)的頁(yè)面背后，這次站著一個(gè)叫ShinyHunters的黑客團(tuán)伙。

他們專(zhuān)挑Salesforce賬戶下手，手法像流水線：釣魚(yú)郵件拿到憑證，Aura組件漏洞橫向移動(dòng)，最后把數(shù)據(jù)打包上架暗網(wǎng)拍賣(mài)。

18分鐘的窗口期，黑客拿走了什么

Infinite Campus在通知信里試圖淡化損失：「獲取的主要是教職員工姓名和聯(lián)系方式，這些信息在學(xué)校官網(wǎng)上也能找到。」

但安全團(tuán)隊(duì)的時(shí)間線暴露了緊張感。3月18日，異常登錄觸發(fā)警報(bào)；IT部門(mén)介入，18分鐘后強(qiáng)制下線入侵者。ShinyHunters的動(dòng)作更快——在被踢出之前，他們已經(jīng)完成了數(shù)據(jù)抓取。

公司強(qiáng)調(diào)「客戶信息未被針對(duì)性竊取」，卻同時(shí)承認(rèn)「部分?jǐn)?shù)據(jù)可能涉及家長(zhǎng)」。這種措辭的微妙差異，讀過(guò)數(shù)據(jù)泄露通知的人都知道意味著什么。

更麻煩的是后續(xù)。ShinyHunters把Infinite Campus掛上了自己的數(shù)據(jù)泄露網(wǎng)站，配圖是一張教室空鏡。這不是炫耀，是標(biāo)價(jià)前的展示。

ShinyHunters的「Salesforce狩獵季」

這個(gè)團(tuán)伙今年格外活躍。3月初，他們公開(kāi)認(rèn)領(lǐng)針對(duì)Salesforce Aura組件的大規(guī)模攻擊，警告「更多案例即將披露」。Infinite Campus是其中一塊拼圖。

他們的商業(yè)模式很直接：入侵、勒索、拍賣(mài)。哈佛和賓大超過(guò)百萬(wàn)條個(gè)人信息被泄露后上架；拉斯維加斯一家頂級(jí)酒店被索要150萬(wàn)美元贖金。Infinite Campus的回應(yīng)是拒絕談判——「不會(huì)與未授權(quán)行為者接觸」。

但拒絕付錢(qián)不等于沒(méi)有代價(jià)。公司關(guān)閉了部分面向客戶的服務(wù)，限制無(wú)IP地址用戶的訪問(wèn)。家長(zhǎng)登錄查成績(jī)時(shí)可能遇到的卡頓，就是這次攻擊的余波。

一個(gè)值得玩味的細(xì)節(jié)：Infinite Campus在通知信里沒(méi)提ShinyHunters的名字，只說(shuō)是「一個(gè)以攻擊數(shù)百家公司Salesforce賬戶聞名的組織」。這種回避反而成了確認(rèn)。

校園軟件的供應(yīng)鏈困境

學(xué)生信息系統(tǒng)是教育數(shù)字化的基礎(chǔ)設(shè)施，卻長(zhǎng)期活在安全聚光燈之外。Infinite Campus服務(wù)1100萬(wàn)學(xué)生，意味著可能有數(shù)千萬(wàn)家長(zhǎng)的聯(lián)系方式流經(jīng)這個(gè)平臺(tái)。

這次泄露的規(guī)模其實(shí)難以精確統(tǒng)計(jì)。公司說(shuō)「大多數(shù)」數(shù)據(jù)是公開(kāi)信息，但「大多數(shù)」是多少百分比？家長(zhǎng)數(shù)據(jù)涉及多少州？通知信里沒(méi)有數(shù)字。

更深層的問(wèn)題在于架構(gòu)。Salesforce作為客戶關(guān)系管理（CRM，Customer Relationship Management）平臺(tái)，被無(wú)數(shù)企業(yè)用來(lái)存儲(chǔ)敏感數(shù)據(jù)，但它的Aura組件漏洞今年才被大規(guī)模利用。安全補(bǔ)丁的傳遞鏈條太長(zhǎng)——Salesforce更新、企業(yè)IT部署、最終用戶感知，每個(gè)環(huán)節(jié)都有延遲。

ShinyHunters顯然算準(zhǔn)了這個(gè)時(shí)間差。

當(dāng)勒索成為常態(tài)，拒絕談判是不是最優(yōu)解

Infinite Campus的強(qiáng)硬姿態(tài)在道德上站得住腳，但技術(shù)上未必?zé)o害。拒絕支付贖金意味著數(shù)據(jù)可能被公開(kāi)拍賣(mài)，而教育數(shù)據(jù)的買(mǎi)家用途更難預(yù)測(cè)——精準(zhǔn)詐騙、身份盜竊、甚至針對(duì)未成年人的社交工程。

公司采取的技術(shù)補(bǔ)救措施也帶著妥協(xié)感。限制無(wú)IP地址訪問(wèn)，本質(zhì)是犧牲用戶體驗(yàn)換取安全邊界。那些用公共網(wǎng)絡(luò)登錄的家長(zhǎng)，現(xiàn)在可能需要多走一步驗(yàn)證流程。

這引出一個(gè)行業(yè)層面的尷尬：當(dāng)K-12教育的數(shù)字化依賴(lài)少數(shù)幾家SIS供應(yīng)商，單點(diǎn)故障就會(huì)輻射整個(gè)生態(tài)系統(tǒng)。1100萬(wàn)學(xué)生背后，是2000個(gè)學(xué)區(qū)各自不同的安全預(yù)算和響應(yīng)能力。

ShinyHunters的下一個(gè)目標(biāo)會(huì)是誰(shuí)？他們?cè)?月的預(yù)警里說(shuō)「更多攻擊即將到來(lái)」。Infinite Campus的18分鐘窗口，會(huì)不會(huì)成為其他校園軟件的參照標(biāo)準(zhǔn)——還是反面教材？