Cyberattaque contre Canvas : des écoles et universités américaines paralysées par une demande de rançon

Une plateforme éducative paralysée par une cybermenace

Une attaque par extorsion de données ciblant Canvas, la plateforme éducative largement utilisée aux États-Unis, a perturbé aujourd’hui les cours et les travaux universitaires dans des centaines d’écoles et d’universités. Le groupe de cybercriminels ShinyHunters a revendiqué l’attaque et affiché une demande de rançon sur la page de connexion de Canvas, menaçant de publier les données personnelles de 275 millions d’étudiants et enseignants issus de près de 9 000 établissements.

Instructure désactive Canvas en urgence

La société mère d’Instructure, cotée en Bourse (NYSE : INST), a réagi en désactivant temporairement la plateforme, essentielle pour la gestion des cours, des devoirs et la communication entre enseignants et étudiants. Dans un communiqué publié le 6 mai, Instructure a confirmé une violation de données et précisé que les informations volées incluaient des noms, adresses e-mail et numéros d’identification étudiants, ainsi que des messages échangés entre utilisateurs. Aucune donnée sensible comme des mots de passe, dates de naissance ou informations financières n’a été compromise, selon l’entreprise.

Le 6 mai, Instructure affirmait que la plateforme fonctionnait normalement et qu’aucune activité malveillante n’était détectée. Pourtant, dès le 7 mai, des utilisateurs ont signalé sur les réseaux sociaux que la page de connexion affichait désormais un message de rançon attribué à ShinyHunters. Face à cette situation, Instructure a retiré Canvas du service, affichant un message de maintenance : « Canvas est actuellement en maintenance programmée. Veuillez revenir bientôt. »

Un timing critique pour les établissements touchés

Cette attaque survient à un moment crucial pour de nombreux établissements, en pleine période d’examens finaux. Une interruption prolongée pourrait avoir des conséquences graves pour Instructure et les institutions concernées. Le message d’extorsion conseillait aux écoles de négocier directement avec les cybercriminels pour éviter la publication de leurs données, indépendamment de la décision d’Instructure.

« ShinyHunters a de nouveau piraté Instructure », pouvait-on lire dans le message. « Au lieu de nous contacter pour résoudre le problème, ils ont ignoré notre demande et effectué des ‘correctifs de sécurité’ ». Une source proche de l’enquête, sous couvert d’anonymat, a révélé que plusieurs universités auraient déjà engagé des discussions avec le groupe.

Que faire en cas d’exposition aux données ?

• Changer immédiatement les mots de passe utilisés sur Canvas.
• Surveiller les comptes bancaires et signaler toute activité suspecte.
• Rester vigilant face aux tentatives de phishing ou d’usurpation d’identité.
• Consulter les mises à jour officielles d’Instructure pour connaître l’évolution de la situation.

Prochaines étapes et réactions en cours

Instructure n’a pas encore communiqué sur une éventuelle reprise du service. Les autorités compétentes, dont le FBI, pourraient être saisies pour enquêter sur cette cyberattaque. Les établissements touchés sont invités à suivre les recommandations des experts en cybersécurité pour limiter les risques.

« Cette attaque illustre la vulnérabilité croissante des plateformes éducatives, devenues des cibles privilégiées pour les cybercriminels. Les établissements doivent renforcer leurs protocoles de sécurité et anticiper les risques de fuites de données. » — Expert en cybersécurité, non identifié.