Le pire scandale de violation de données étudiantes de l'histoire : le piratage de Canvas révèle les risques des EdTech centralisées

Jeudi après-midi, des millions d'étudiants et d'élèves de milliers d'universités et d'écoles primaires et secondaires ont été privés d'accès à Canvas, une plateforme éducative omniprésente devenue le cœur de nombreux cours. Le groupe de ransomware ShinyHunters a piraté la société mère de Canvas et, selon ses déclarations, aurait volé « des milliards » de messages tout en accédant aux données personnelles de plus de 275 millions d'individus. Le groupe a également bloqué l'accès des étudiants à la plateforme.

Plus tard dans la journée, Instructure, l'éditeur de Canvas, est parvenu à rétablir la majorité des services. Il reste incertain si l'entreprise a payé une rançon. Cette cyberattaque illustre les risques liés à la centralisation des données éducatives et personnelles de millions d'utilisateurs au sein d'un seul service.

Canvas, utilisé comme un portail unique, permet aux enseignants de publier des devoirs, des cours, d'animer des forums de discussion et aux étudiants d'échanger avec leurs professeurs ou entre eux. Il sert également de lien avec d'autres outils éducatifs.

Dans une mise à jour de l'incident, Instructure a confirmé que les données volées incluaient « certaines informations personnelles des utilisateurs des organisations concernées ». Parmi celles-ci figuraient les noms, adresses e-mail, numéros d'identification étudiants et les messages échangés sur la plateforme. L'entreprise a également révélé avoir subi deux intrusions : la première le 29 avril, la seconde jeudi.

Une menace sans précédent pour la vie privée des étudiants

Quelques heures après l'attaque, nous avons contacté Ian Linkletter, bibliothécaire numérique spécialisé dans les nouvelles technologies éducatives. Avec vingt ans d'expérience dans le domaine, il s'est fait connaître pour avoir révélé des failles de confidentialité dans Proctorio, un logiciel de surveillance des examens en ligne devenu populaire pendant la pandémie de COVID-19. Linkletter a même été poursuivi par Proctorio, avant que l'affaire ne soit abandonnée.

Pour lui, le piratage de Canvas représente « le pire scandale de violation de données étudiantes de l'histoire », en raison de son ampleur et de la sensibilité des données dérobées. Voici les principaux points de notre échange, légèrement condensé.

Les conséquences immédiates de l'attaque

404 Media : Que savons-nous de cette cyberattaque à ce stade ?
Ian Linkletter : Vers 13h20 [heure du Pacifique, jeudi], des utilisateurs ont commencé à publier des captures d'écran du message d'alerte reçu sur Reddit. Certaines institutions ont conseillé aux étudiants de changer leurs mots de passe s'ils étaient connectés. Actuellement, c'est la panique : des responsables scolaires sont en réunion pour décider s'il faut annuler les examens de la semaine prochaine. Les implications sont énormes, car les établissements dépendent entièrement de ce système de gestion de l'apprentissage pour tout : communications, notation, examens… tout.

Pourquoi qualifier cette attaque de « pire scandale » ?

404 Media : Vous avez travaillé dans les EdTech pendant vingt ans et vous qualifiez cette attaque de « pire scandale de violation de données étudiantes de l'histoire ». Qu'est-ce qui vous amène à cette conclusion ?
Ian Linkletter : J'ai soutenu Blackboard [un concurrent de Canvas] il y a longtemps, puis j'ai travaillé avec Canvas de 2017 à 2022 à l'Université de la Colombie-Britannique. À l'époque, nous avons migré vers Canvas en 2017, abandonnant des systèmes autogérés et fragmentés pour une solution centralisée. Cette transition a marqué un tournant : au lieu de gérer des outils dispersés, les établissements ont tout concentré dans une seule plateforme, devenant ainsi des cibles idéales pour les cybercriminels.

Cette centralisation des données éducatives, autrefois dispersées et mieux protégées, expose désormais des millions d'utilisateurs à des risques colossaux. Le piratage de Canvas rappelle brutalement les dangers d'une dépendance excessive à une poignée de géants technologiques dans le secteur éducatif.