Fuite · · 4 min de lecture
La fuite chez Canvas : ce que les étudiants et le personnel au Canada doivent savoir
Une fuite chez Canvas, d’Instructure, a touché des établissements du monde entier, dont UBC, SFU et l’Université de Toronto. Ce qui a été pris, ce qui ne l’a pas été et les arnaques à surveiller.
En mai 2026, Instructure, l’entreprise derrière la plateforme d’apprentissage Canvas, a confirmé une fuite qui a touché des établissements partout dans le monde, dont plusieurs au Canada. Si vous étudiez ou travaillez dans une université ou un collège canadien, il y a de bonnes chances que votre établissement utilise Canvas, parfois sous un autre nom, comme Quercus à l’Université de Toronto.
Ce qui s’est passé
Instructure dit avoir commencé à enquêter sur une « activité non autorisée » dans Canvas le 29 avril et avoir avisé les utilisateurs le 1er mai, selon La Presse Canadienne. Le groupe d’extorsion ShinyHunters a revendiqué l’attaque. Le 7 mai, les attaquants sont revenus par la même voie et ont défiguré des pages de connexion Canvas avec un message d’extorsion fixant une échéance au 12 mai.
Instructure a indiqué à BleepingComputer que les attaquants avaient exploité un problème de sécurité dans Free-for-Teacher, une version gratuite et limitée de Canvas destinée aux enseignants. L’entreprise a temporairement fermé ces comptes.
Juste avant l’échéance du 12 mai, Instructure a annoncé une « entente » avec les attaquants : les données auraient été rendues, l’entreprise dit avoir reçu une confirmation numérique de leur destruction et l’assurance que ses clients ne seraient pas victimes d’extorsion. CBC News a rapporté l’entente. Instructure n’a pas dit si elle avait payé, ni combien. La promesse d’un groupe criminel de supprimer des données ne vaut pas grand-chose; nous partirions du principe que les données pourraient refaire surface.
Qui est touché au Canada
Parmi les établissements qui se sont dits touchés figurent l’Université de la Colombie-Britannique, l’Université Simon Fraser, l’Université de Toronto, l’Université OCAD, le Collège Mohawk, l’école de commerce Ivey de l’Université Western et l’Université de l’Alberta, selon La Presse Canadienne et CBC. Le bureau du commissaire à l’information et à la protection de la vie privée de l’Ontario a dit examiner la situation. Si votre établissement n’y figure pas, consultez directement ses avis informatiques ou de sécurité.
Ce qui a été pris, et ce qui ne l’a pas été
Selon Instructure, les données comprenaient des noms, adresses courriel, numéros d’étudiant, renseignements sur les cours et les inscriptions, et des messages échangés dans Canvas. L’entreprise dit n’avoir aucune preuve que des mots de passe, des renseignements financiers ou des numéros d’identité gouvernementaux aient été pris.
Les attaquants ont affirmé avoir touché 275 millions d’utilisateurs dans environ 9 000 établissements. Ce chiffre vient des attaquants, et Instructure ne l’a pas confirmé.
Le vrai risque : un hameçonnage très convaincant
Votre mot de passe n’a pas été pris; inutile de paniquer. Mais un fraudeur qui connaît votre nom, votre courriel scolaire, votre numéro d’étudiant et vos cours peut écrire un courriel qui a tout l’air de venir de votre établissement : une « contestation de note », un « blocage de l’aide financière », une « revérification Canvas ». L’Université OCAD a prévenu ses étudiants de se méfier des messages d’hameçonnage prétendant venir de Canvas, d’Instructure ou de l’université.
Quoi faire :
- Ne vous connectez pas à partir des liens dans les courriels au sujet de la fuite. Tapez vous-même l’adresse Canvas de votre établissement ou utilisez l’application.
- Activez l’authentification multifacteur de votre établissement, et ne lisez jamais un code à quelqu’un qui vous contacte.
- Méfiez-vous des messages qui mentionnent vos cours. Connaître vos sigles de cours ne prouve pas qu’on vient de votre établissement.
- Pensez à ce que vous avez écrit dans vos messages Canvas. Si vous y avez partagé quelque chose de personnel, comme des renseignements de santé ou votre adresse, présumez que ça pourrait refaire surface, et soyez attentif à qui s’en servirait.
- Si vous avez réutilisé votre mot de passe scolaire ailleurs, changez-le quand même. Il n’a pas été signalé comme volé, mais la réutilisation est l’habitude qui transforme une fuite en plusieurs.
Sources
- La Presse Canadienne, via le St. Albert Gazette, Mass cybersecurity breach of learning platform hits Canadian post-secondary schools (en anglais)
- CBC News, Canvas hack: Company strikes deal with hackers after massive cyber breach hits universities (en anglais)
- BleepingComputer, Instructure reaches “agreement” with ShinyHunters to stop data leak (en anglais)
- Daily Hive, Several top Canadian universities hit in Canvas data breach (en anglais)
Les nouveaux articles, par courriel.
Environ une fois par mois. Des notes sur la vie privée en termes simples, rien d’autre. Je ne partage jamais votre adresse.