Violation Canvas : 275M utilisateurs exposés par ShinyHunters

Violation massive des données Canvas confirmée : ShinyHunters cible le secteur de l'éducation

Une violation massive chez Instructure, société mère de Canvas, a exposé les données personnelles de jusqu'à 275 millions d'utilisateurs dans le monde. Le groupe ShinyHunters a revendiqué l'attaque, visant environ 9 000 établissements, dont plusieurs universités néerlandaises. Détectée le 30 avril 2026, confirmée le 1er mai.

Quelles données ont été volées ?

Selon Instructure, les données exposées incluent noms, e-mails, identifiants étudiants et messages privés. Aucun mot de passe, date de naissance ou information financière n'a été compromis, selon l'entreprise. ShinyHunters affirme avoir volé 3,65 To de données, y compris des milliards de messages et des PII. Le RSSI Steve Proud a confirmé que l'incident est maîtrisé, avec correctifs et surveillance renforcée.

Ultimatum de ShinyHunters : payer ou fuiter

ShinyHunters a menacé de fuiter les données si Instructure ne les contacte pas avant le 6 mai 2026. Le groupe est connu pour ses extorsions, ayant ciblé Odido, Ticketmaster, AT&T, etc. C'est la deuxième attaque d'envergure contre Instructure en un an, après une deuxième violation majeure des données edtech en septembre 2025.

Universités néerlandaises touchées

Des établissements comme Fontys, Maastricht, Amsterdam, Erasmus et d'autres sont potentiellement impactés. L'Université de Maastricht a informé les étudiants que Canvas reste sûr. La menace croissante des cyberattaques sur l'éducation souligne la vulnérabilité des plateformes centralisées.

Pourquoi cette violation est importante

Canvas est utilisé par plus de 8 000 institutions. Cette violation expose les étudiants à des risques d'usurpation d'identité et de phishing. Le secteur éducatif est une cible de choix : 98% des universités ont subi une cyberattaque. Cette brèche est l'une des plus grandes de l'edtech.

Que faire maintenant ?

• Changer le mot de passe Canvas et activer l'authentification multifacteur.
• Se méfier des e-mails de phishing.
• Surveiller les comptes.
• Ne pas cliquer sur des liens suspects.

Implications juridiques

Possibles examens sous FERPA et RGPD. Les universités néerlandaises pourraient devoir notifier l'Autorité de protection des données. Des recours collectifs pourraient émerger.

FAQ

Qu'est-ce que la violation Canvas ?

Incident confirmé le 1er mai 2026, où ShinyHunters a volé les données de 275 millions d'utilisateurs.

Quelles données ont été volées ?

Noms, e-mails, ID étudiants, messages privés. Pas de mots de passe ni données financières.

Quelles écoles sont touchées ?

Environ 9 000 établissements, dont des universités néerlandaises comme Amsterdam, Maastricht, Erasmus.

Qui est ShinyHunters ?

Groupe de hackers formé vers 2019, connu pour ses extorsions.

Canvas est-il sûr ?

Oui, selon Instructure. Correctifs appliqués. Recommandation : changer mot de passe et activer MFA.

Sources

• NOS: Les hackers d'Odido volent aussi les données de millions d'enseignants et d'étudiants
• BleepingComputer: Instructure confirme la violation, ShinyHunters revendique l'attaque
• TechRepublic: Violation Canvas expose 275 millions d'utilisateurs
• Secure.com: Violation Instructure Canvas ShinyHunters