Instructure, l’éditeur américain de Canvas, l’une des plateformes d’apprentissage en ligne les plus utilisées par les écoles et universités, a reconnu ce week-end une cyberattaque menée par un acteur criminel. Après une première annonce vendredi 1er mai, l’entreprise a confirmé samedi que des informations personnelles d’utilisateurs de certains établissements avaient été exposées. Le groupe ShinyHunters revendique l’attaque et avance des chiffres considérables, qu’Instructure n’a pas confirmés.
Ce qu’Instructure a confirmé
La première communication, signée par le responsable de la sécurité Steve Proud, se limitait à reconnaître un incident « perpétré par un acteur criminel » et à indiquer que des experts en investigation externes avaient été mandatés. La mise à jour publiée samedi est plus précise : les forces de l’ordre sont associées à l’enquête et des données d’utilisateurs ont bien été touchées.
Quelles données ont fuité
D’après Instructure, les informations concernées sont les suivantes :
- noms des utilisateurs ;
- adresses email ;
- numéros d’identifiant étudiant ;
- messages échangés entre utilisateurs de la plateforme.
À ce stade de l’enquête, l’entreprise dit n’avoir trouvé aucun élément indiquant que les mots de passe, les dates de naissance, les identifiants officiels (type numéro d’identité) ou des données financières soient concernés. Elle s’engage à prévenir les établissements si cela change. Elle n’a en revanche pas précisé quand l’intrusion a eu lieu, ni combien d’établissements ou de personnes sont touchés, ni si une rançon lui a été demandée.
Ce que revendique ShinyHunters
ShinyHunters a ajouté Instructure à son site de fuite. Le groupe affirme avoir touché « près de 9 000 écoles » dans le monde et dérobé les données de 275 millions de personnes (élèves, enseignants et personnels), dont des noms, adresses email, inscriptions aux cours et messages privés adressés aux enseignants. Ses propres annonces ne sont pas cohérentes : il évoque aussi près de 15 000 établissements en Amérique du Nord, en Europe et en Asie-Pacifique, et plus de 240 millions d’enregistrements. Le groupe dit avoir exploité une vulnérabilité dans les systèmes d’Instructure, depuis corrigée, et prétend avoir également accédé à son instance Salesforce.
Ces chiffres proviennent uniquement des attaquants et n’ont été vérifiés ni par Instructure ni par la presse spécialisée. Ils doivent être lus comme une revendication, pas comme un bilan.
Chronologie
| Date | Événement |
|---|---|
| Sept. 2025 | Premier incident chez Instructure : ingénierie sociale visant son instance Salesforce |
| 1er mai 2026 | Canvas Data 2 et Canvas Beta passent en maintenance ; Instructure annonce un incident de cybersécurité |
| 2 mai | Mise à jour : données personnelles d’utilisateurs exposées, patchs déployés, clés d’application renouvelées |
| 3 mai | ShinyHunters revendique l’attaque sur son site de fuite |
Les mesures prises et l’impact pour les établissements
Instructure indique avoir déployé des correctifs, renforcé sa surveillance et, par précaution, procédé à la rotation de ses clés d’application. Conséquence directe pour les administrateurs : les intégrations qui s’appuient sur l’API de Canvas doivent être réautorisées pour obtenir de nouvelles clés, faute de quoi certains outils tiers cessent de fonctionner. Depuis le 1er mai, l’éditeur prévenait déjà que les outils dépendant de clés d’API pouvaient rencontrer des problèmes, sans dire si cette maintenance était liée à l’incident.
Que faire si vous êtes concerné
- Administrateurs Canvas : suivez la page d’incident d’Instructure, réautorisez les intégrations API, et inventoriez les outils tiers branchés sur votre instance pour vérifier qu’ils fonctionnent avec les nouvelles clés.
- Établissements : préparez une communication à vos étudiants et personnels, même avant la notification officielle, pour les prévenir du risque d’hameçonnage.
- Étudiants et enseignants : méfiez-vous des emails qui citent vos cours, votre identifiant étudiant ou des échanges avec vos enseignants pour vous pousser à cliquer ou à vous reconnecter. Passez toujours par l’adresse habituelle de votre établissement.
- Si vous réutilisez votre mot de passe Canvas ailleurs, changez-le par précaution, même si Instructure affirme que les mots de passe ne sont pas concernés.
Instructure dit qu’il communiquera davantage au fil de l’enquête. Nous mettrons cet article à jour si l’entreprise publie un bilan chiffré.