ShinyHunters frappe Instructure : 275M Canvas exposés

Les faits

Le 3 mai 2026, le groupe d'extorsion ShinyHunters a inscrit Instructure Holdings, éditeur de la plateforme Canvas LMS, sur son site de fuites. L'affaire ShinyHunters Instructure porte sur le vol de données touchant près de 275 millions d'utilisateurs et 9 000 établissements éducatifs répartis dans le monde entier, ce qui en ferait l'une des plus vastes compromissions jamais associées au secteur de l'éducation. Basée à Salt Lake City, l'entreprise américaine équipe universités, collèges et écoles primaires sur tous les continents, ses services hébergeant devoirs, notes, échanges pédagogiques et données personnelles d'élèves parfois mineurs. L'incident s'inscrit dans la campagne d'extorsion massive menée par le collectif contre des instances Salesforce et des environnements SaaS d'entreprise. Cet article détaille la chronologie des faits, la nature des informations exposées, la réponse d'Instructure et les mesures concrètes que les établissements doivent engager sans attendre.

Selon les éléments publiés sur le portail d'extorsion du groupe, les données concerneraient noms, emails, identifiants étudiants, dates de naissance, listes de cours suivis, devoirs rendus, et dans certains cas des numéros de téléphone et adresses postales. Aucun mot de passe en clair ne serait exfiltré, mais ShinyHunters affirme disposer également de hashs et de jetons de session — éléments qui posent question sur le périmètre exact de la compromission.

L'angle d'attaque revendiqué est cohérent avec la campagne d'ampleur que ShinyHunters mène depuis l'été 2025, exploitant la chaîne d'intégration Salesforce / Salesloft Drift / OAuth pour exfiltrer les bases CRM de grandes entreprises sans toucher à leur infrastructure interne. Le mode opératoire consiste à compromettre des comptes Salesloft ou des intégrations OAuth tiers (souvent via phishing ciblé sur des employés disposant de droits d'administration), puis à utiliser les jetons obtenus pour exfiltrer en masse des données depuis Salesforce ou des plateformes intégrées. Cette même semaine, Cushman & Wakefield (immobilier commercial), Match Group (Tinder, Match.com), et Adelante Soluciones Financieras (services financiers Colombie) ont également été ajoutés au leak site.

Instructure n'a pas confirmé publiquement l'incident à l'heure de publication, mais des employés contactés par les chercheurs en sécurité ont indiqué qu'une investigation interne est en cours. La société a une obligation de notification aux régulateurs américains (notification 8-K à la SEC sous 4 jours ouvrés en cas d'incident matériel) qui pourrait clarifier le périmètre dans les jours à venir. Côté européen, les universités françaises ou européennes qui utilisent Canvas devront, si la confirmation est apportée, notifier la CNIL sous 72h en application du RGPD article 33 et informer leurs étudiants concernés.

Le secteur de l'éducation est devenu en 2025-2026 l'une des cibles privilégiées des groupes d'extorsion, en raison de la conjonction de plusieurs facteurs : volume considérable de données personnelles (élèves mineurs, étudiants, parents), niveaux de maturité cybersécurité hétérogènes, dépendances fortes à des plateformes SaaS centralisées comme Canvas, Blackboard ou Moodle, et budgets sécurité contraints. La présence de mineurs dans les bases compromises ajoute une couche de gravité particulière au regard du RGPD (consentement parental, mesures techniques renforcées exigées par l'article 8).

Le profil de ShinyHunters est désormais bien documenté. Le groupe, actif depuis 2020, a longtemps opéré sur des forums underground avant d'industrialiser ses opérations en 2025 en s'alliant ponctuellement avec Qilin pour des campagnes coordonnées. Contrairement aux ransomware classiques, ShinyHunters ne chiffre pas les systèmes : la pression repose entièrement sur la menace de publication. Cette approche "extorsion-only" présente plusieurs avantages opérationnels pour l'attaquant — moins d'empreinte technique, pas de récupération via sauvegarde possible, et difficulté pour la victime de réfuter publiquement les preuves de fuite.

Les preuves publiées par ShinyHunters incluent généralement un échantillon représentatif de la base prétendument volée, vérifiable par les premiers utilisateurs identifiés. Dans le cas Cushman & Wakefield la semaine dernière, le groupe avait publié 500 000 enregistrements Salesforce contenant des PII et des informations corporate internes — un format qui laisse peu de doute sur l'origine Salesforce de l'exfiltration.

Pour les organisations utilisatrices de Canvas en Europe, l'enjeu immédiat est double. D'abord, valider que leur tenant Canvas n'est pas dans le périmètre de l'attaque (ou attendre la confirmation officielle d'Instructure). Ensuite, vérifier les intégrations OAuth Canvas/Salesforce/Salesloft de leur côté pour s'assurer qu'aucune dérivée de la compromission ne touche leur SI propre. Plusieurs CSIRT-EDU (en France, en Allemagne, aux Pays-Bas) sont mobilisés pour coordonner les investigations dans le secteur académique européen.

Impact et exposition

Tout établissement utilisant Canvas LMS via Instructure peut potentiellement être concerné. Le périmètre exact reste à confirmer par l'éditeur. Les universités françaises ayant adopté Canvas (présence limitée mais réelle dans certaines grandes écoles et universités internationales implantées en France) doivent contacter leur représentant Instructure pour vérification. Les risques aval incluent du phishing ciblé sur les étudiants à partir des données fuitées, des tentatives de credential stuffing si des mots de passe ont été réutilisés, et des escroqueries usurpant l'identité de l'établissement.

Recommandations

• Pour les RSSI d'établissements utilisant Canvas : contacter Instructure pour confirmation du périmètre et demander un export des logs d'accès sur les 90 derniers jours.
• Forcer une rotation des mots de passe et l'invalidation des sessions actives sur les comptes Canvas dès confirmation d'exposition.
• Auditer les intégrations OAuth tierces sur le tenant Canvas (Salesloft, Salesforce, applications éditeur) et révoquer celles qui ne sont plus utilisées.
• Préparer la notification CNIL et la communication aux étudiants concernés conformément au RGPD article 33-34, en anticipant le délai de 72h.
• Mettre en place une surveillance des forums underground et des services type HaveIBeenPwned pour repérer toute réutilisation des données fuitées.
• Sensibiliser les étudiants et personnels au risque de phishing personnalisé exploitant les données qui pourraient apparaître dans les leaks à venir.