Instructure, le géant des technologies éducatives et créateur de la plateforme d’apprentissage Canvas, a été victime d’un piratage informatique visant directement les données personnelles des étudiants. Le groupe de hackers ShinyHunters affirme être à l’origine de la cyberattaque et dit détenir des informations provenant de près de 9 000 établissements scolaires en échange d’une rançon. L’entreprise a néanmoins annoncé que certains de ses produits, dont Canvas, étaient de nouveau accessibles.
Les entreprises technologiques éducatives sont de plus en plus ciblées par des cyberattaques, en raison notamment de la quantité de données sensibles qu’elles hébergent. Ces plateformes centralisent d’immenses volumes de dossiers étudiants, de données institutionnelles et de communications privées, tout en étant utilisées par des centaines de millions d’utilisateurs à travers le monde. Elles constituent ainsi des cibles privilégiées pour les cybercriminels.
En janvier de l’année dernière, PowerSchool avait par exemple été victime d’un vol de données concernant 62 millions d’élèves à la suite d’une faille de sécurité informatique. L’affaire a conduit à un accord amiable de 17,25 millions de dollars, tout en faisant toujours l’objet d’une procédure judiciaire fédérale, selon Safe State.
Plus tôt cette semaine, Instructure, qui revendique aujourd’hui plus de 8 000 établissements clients, a été attaqué par le groupe de pirates informatiques ShinyHunters. L’attaque a ciblé ses produits phares tels que Canvas, un système d’apprentissage basé sur le cloud utilisé par plusieurs milliers d’établissements d’enseignement supérieur et d’organismes de formation.
Il s’agit de la seconde attaque en moins d’un an menée par ShinyHunters contre Instructure, la précédente remontant à septembre dernier. À l’époque, l’entreprise avait assuré qu’aucune donnée sensible liée à Canvas n’avait été compromise. La répétition de ces incidents soulève désormais des interrogations sur l’efficacité des mesures prises après cette première attaque.
Les plateformes éducatives, nouvelles cibles des cybercriminels
ShinyHunters affirme que la fuite de données aurait touché près de 9 000 écoles dans le monde et concernerait environ 275 millions de personnes, parmi lesquelles des élèves, des enseignants et d’autres membres du personnel éducatif. L’un des membres du groupe a indiqué que les données volées comprenaient au total 231 millions d’adresses électroniques uniques, selon TechCrunch.
Ces informations incluraient également des messages privés contenant des noms complets, des adresses électroniques et certains numéros de téléphone. Instructure a confirmé qu’il s’agissait bien du type de données personnelles affectées par le piratage. En revanche, les données compromises ne contenaient pas de mots de passe, ce qu’a également confirmé l’entreprise.
ShinyHunters a en outre publié une liste d’environ 8 800 établissements scolaires prétendument piratés. Ce chiffre, légèrement inférieur aux 9 000 écoles évoquées par le groupe, semble correspondre à une estimation. Il reste toutefois à déterminer si l’ensemble de ces établissements ont réellement été touchés par la cyberattaque ou s’ils figurent simplement parmi les clients d’Instructure. Le groupe de hackers n’en est en effet pas à sa première campagne de cyberattaque et est connu pour exagérer certaines de ses allégations.
Des établissements australiens, comme l’Institut d’enseignement technique et de formation continue de Tasmanie (TasTAFE), semblent néanmoins figurer parmi les victimes, selon ABC News. « Cet incident est lié aux systèmes d’Instructure et n’est pas dû à une violation des systèmes ou des processus propres à TasTAFE », ont indiqué les responsables dans un communiqué.
Un responsable du ministère de l’Éducation, de l’Enfance et de la Jeunesse de Tasmanie (DECYP) a toutefois précisé que le ministère n’avait pas encore été informé d’un éventuel piratage des données des écoles publiques de Tasmanie. « Si des informations sensibles ou personnelles venaient à être compromises, DECYP collaborera avec Instructure afin de gérer les conséquences de l’incident et de veiller à ce que les personnes concernées soient informées dès que possible et bénéficient de l’assistance nécessaire », a-t-il déclaré au média australien.
Instructure a indiqué que des mesures avaient été prises immédiatement après l’incident, notamment la révocation des identifiants et des jetons d’accès privilégiés associés aux systèmes concernés, le déploiement de correctifs destinés à renforcer la sécurité ainsi que, par précaution, la rotation de certaines clés d’accès, malgré l’absence de preuve d’une utilisation abusive.
La surveillance de l’ensemble des plateformes a également été renforcée. L’entreprise a par ailleurs précisé qu’une partie de ses produits, dont la gamme Canvas, étaient de nouveau accessibles et que les clients pouvaient y réaccéder en toute sécurité.
