A Canva megerősítette, hogy egy harmadik féltől származó eszközt érintő kiberbiztonsági incidens során illetéktelenek hozzáférhettek egyes vállalati ügyfelek adataihoz. A Seven Deadly Sins nevű zsarolóvírus-csoport magára vállalta a támadást, és azt állítja, hogy az érintett adatokat már értékesítette.
A Canva Ausztrália egyik legismertebb technológiai vállalata, amely az azonos nevű, ingyenesen használható grafikai tervezőplatformjával vált ismertté.
A Seven Deadly Sins az idei évben megjelent új támadói csoportok egyike. Első áldozatát szeptember végén nevezte meg, azóta pedig összesen nyolc szervezetet sorolt fel áldozatai között. A csoportról egyelőre kevés információ áll rendelkezésre.
A csoport október 16-án tüntette fel a Canvát a darkneten működő adatszivárogtató oldalán. Állításuk szerint több mint kétmillió Salesforce-rekordhoz, vállalati licencmegrendelésekhez és számlázási PDF-dokumentumokhoz jutottak hozzá. A támadók egy Canva for Enterprise-megrendelőlapot is közzétettek a támadás bizonyítékaként, és azt állítják, hogy az adatokat már eladták egy meg nem nevezett magánvásárlónak. Ezeket az állításokat a vállalat nem erősítette meg.
A Canva tájékoztatása szerint az incidens a Canny nevű, külső szolgáltatótól származó eszközt érintette, amelyet a vállalat a termékeivel kapcsolatos visszajelzések gyűjtésére használt. A Canny jogosulatlan elérése a Canva Salesforce-fiókjával fennálló kapcsolaton keresztül egyes vállalati ügyfelek adataihoz is hozzáférést biztosított. Az érintett információk között üzleti kapcsolattartási adatok és üzleti dokumentumok szerepeltek.
A vállalat azonnal megszüntette a Canny hozzáférését, szükség esetén értesítette az érintett ügyfeleket, és együttműködött az illetékes hatóságokkal. A Canva hangsúlyozta, hogy a saját platformját és rendszereit nem kompromittálták, a felhasználói fiókok, jelszavak, tervek és tartalmak pedig biztonságban maradtak.
A Canva rendszereit korábban 2019-ben és 2020-ban is adatvédelmi incidens érte, amelyek során több tízmillió felhasználó adatai kerültek illetéktelenek kezébe. Akkor az érintett adatok között nevek, felhasználónevek és jelszavak is szerepeltek. A 2020-as esetet követően a vállalat visszaállította azoknak a felhasználóknak a jelszavait, akik az első incidens óta nem változtatták meg azokat.