MISE À JOUR N° 2-Selon une source, les établissements scolaires tentent de contacter les pirates informatiques de Canvas alors qu'une faille de sécurité touche les salles de classe américaines

information fournie par Reuters •08/05/2026 à 21:50

((Traduction automatisée par Reuters à l'aide de l'apprentissage automatique et de l'IA générative, veuillez vous référer à l'avertissement suivant: https://bit.ly/rtrsauto)) (Cet article a été mis à jour afin d'inclure les commentaires d'un porte-parole d'Instructure aux paragraphes 7 et 8.) par AJ Vicens

Certaines écoles et universités dont les données des étudiants ont été volées par un groupe de cybercriminels dans le cadre d'une violation de l'outil éducatif Canvas en avril ont cherché à traiter directement avec les pirates afin d'empêcher la divulgation des données, a déclaré vendredi à Reuters une source proche du dossier.

ShinyHunters, un groupe de pirates informatiques à l'origine d'une série de campagnes de vol de données et d'extorsion visant de grandes entreprises mondiales, a déclaré dans un message publié le 3 mai sur son site web avoir volé environ 6,65 téraoctets de données Canvas concernant près de 9.000 établissements scolaires à travers le monde, comprenant les noms des élèves, leurs adresses e-mail et des messages privés échangés entre élèves, enseignants et autres membres du personnel.

Des journaux étudiants à travers le pays ont rapporté cette semaine que ce piratage causait des perturbations généralisées alors que les étudiants se préparent pour leurs travaux et devoirs de fin d'année. Le logiciel est utilisé par les établissements scolaires pour faciliter la gestion des devoirs et le partage d'informations, ainsi que les communications entre les étudiants et le personnel enseignant.

Le 5 mai, le groupe a publié un message indiquant que la société mère de Canvas, Instructure, "n’avait même pas pris la peine de nous parler" pour empêcher une fuite de données, et que leur demande "n’était même pas aussi élevée que vous pourriez le penser". Le message comprenait une liste d’environ 1.400 écoles et districts individuels, et invitait les établissements à les contacter pour négocier et empêcher la publication des données.

Instructure a annoncé dans un message publié le 1er mai sur son site d'assistance qu'elle enquêtait sur un incident de cybersécurité. Un message publié le lendemain, signé par Steve Proud, responsable de la sécurité des systèmes d'information, indiquait que les "informations concernées" comprenaient les noms d'utilisateur de Canvas, les adresses e-mail, les numéros d'identification des élèves et les messages échangés entre les utilisateurs. Dans une mise à jour du 6 mai, la société a déclaré que la situation était résolue et que Canvas était pleinement opérationnel.

Le 7 mai, des élèves de plusieurs écoles ont signalé avoir tenté de se connecter à Canvas et avoir trouvé une note de ShinyHunters contenant un lien vers la liste des écoles concernées. Instructure a mis Canvas, Canvas Beta et Canvas Test hors ligne peu de temps après, mais a rétabli l'accès à Canvas quatre heures plus tard.

Un porte-parole d'Instructure a déclaré vendredi dans un e-mail que les pirates "avaient modifié les pages qui s'affichaient lorsque certains étudiants et enseignants se connectaient".

Les pirates ont exploité une faille liée au service "Free-for-Teacher" de l'entreprise, a précisé le porte-parole, qui permet aux utilisateurs non abonnés à Canvas d'essayer certaines fonctionnalités de la plateforme. L'entreprise a temporairement suspendu le service "Free-for-Teacher", ce qui "nous donne l'assurance de pouvoir rétablir l'accès à Canvas, qui est désormais entièrement de nouveau en ligne et disponible", a déclaré le porte-parole.

Canvas Beta et Canvas Test restent en "mode maintenance", selon le site d'assistance d'Instructure.

ShinyHunters a retiré ces deux messages de son site web le 7 mai, les remplaçant par un message indiquant qu’ils "ne faisaient aucun commentaire et n’avaient rien d’autre à ajouter concernant cet incident mondial". Un représentant du groupe a refusé de répondre aux questions de Reuters envoyées via un chat en ligne.

Les groupes d'extorsion et de ransomware retirent les revendications concernant leurs victimes de leurs sites web pour diverses raisons, notamment parce que la cible a parfois payé ou est en cours de transactions.

Une note envoyée vendredi aux parents par le district scolaire de South Orange-Maplewood indiquait que la faille de sécurité s'était produite le 25 avril et qu'Instructure avait détecté une activité non autorisée le 29 avril.

Les écoles publiques du comté de Montgomery, dans le Maryland, ont informé vendredi les élèves, le personnel et les familles par e-mail que Canvas était de nouveau opérationnel, mais que le district continuait à restreindre l'accès par mesure de précaution "jusqu'à ce que tous les services aient été examinés et confirmés comme sûrs".

Canvas compte 30 millions d'utilisateurs actifs, de la maternelle à l'université, selon le site web d'Instructure.