ShinyHunters revendique le vol de 275 millions d'enregistrements chez le géant de l'edtech Instructure

La société de technologie éducative Instructure a confirmé une violation de données après que le groupe de hackers notoire ShinyHunters a menacé de divulguer des données qu'il affirme avoir volées dans près de 9 000 établissements d'enseignement. Le groupe allègue avoir obtenu des enregistrements appartenant à 275 millions d'étudiants, d'enseignants et d'autres individus, ce qui en ferait l'une des plus grandes violations jamais signalées dans le secteur de l'éducation si ces affirmations sont vérifiées.

Instructure, surtout connue pour son système de gestion de l'apprentissage Canvas très utilisé, n'a pas encore confirmé publiquement l'étendue totale de ce qui a été consulté. La société a divulgué l'incident sous la pression d'une extorsion de la part de ShinyHunters, un groupe ayant un long historique de vols de données à grande échelle et de menaces de divulgation publique conçues pour contraindre les organisations à payer des rançons.

Qui est ShinyHunters et pourquoi devriez-vous vous en préoccuper

ShinyHunters n'est pas un nom inconnu dans les cercles de la cybersécurité. Le groupe a été impliqué dans des dizaines de violations très médiatisées au cours des dernières années, ciblant des entreprises dans les secteurs de la vente au détail, de la finance, de la santé et de la technologie. Leur approche habituelle consiste à exfiltrer de grands volumes de données d'utilisateurs, puis à menacer de les publier sur des forums du dark web à moins que l'organisation victime ne paie.

Ce qui rend cet incident particulièrement notable, c'est l'ampleur considérable du vol allégué et la vulnérabilité de la population concernée. Les étudiants, dont beaucoup sont mineurs, représentent un groupe particulièrement vulnérable. Les dossiers scolaires peuvent inclure des noms, des adresses e-mail, des identifiants institutionnels et, dans certains cas, des informations plus sensibles liées aux systèmes académiques ou administratifs. Des données de cette nature peuvent être exploitées pour des campagnes de phishing, des fraudes à l'identité et des attaques d'ingénierie sociale qui peuvent ne pas se manifester avant des mois ou des années après la violation initiale.

L'implication de près de 9 000 établissements signifie également que l'exposition est géographiquement et organisationnellement étendue, couvrant les écoles primaires et secondaires, les collèges, les universités et potentiellement les programmes de formation professionnelle qui utilisent Canvas.

Ce que cela signifie pour vous

Si vous-même ou vos enfants fréquentez un établissement scolaire, un collège ou une université qui utilise la plateforme Canvas d'Instructure, vos données pourraient être impliquées. À ce stade, il est conseillé de prendre plusieurs mesures de précaution, que vous receviez ou non une notification officielle.

Premièrement, soyez vigilant face aux tentatives de phishing. Les pirates qui obtiennent des adresses e-mail à partir de bases de données compromises effectuent fréquemment des suivis avec des e-mails ciblés conçus pour ressembler à des communications officielles provenant d'écoles, de services d'aide financière ou de fournisseurs de technologie. Tout e-mail inattendu vous demandant de cliquer sur un lien, de vérifier vos identifiants ou de mettre à jour vos informations de paiement doit être traité avec scepticisme.

Deuxièmement, envisagez d'utiliser des mots de passe uniques et robustes pour tous les comptes liés à votre établissement d'enseignement. Un gestionnaire de mots de passe facilite la gestion de plusieurs identifiants de connexion. Si le mot de passe de votre compte scolaire est partagé avec d'autres services, changez ces mots de passe dès maintenant.

Troisièmement, les parents d'élèves mineurs doivent être particulièrement attentifs. Les données des enfants sont particulièrement précieuses pour les fraudeurs, car elles passent souvent inaperçues pendant des années, offrant aux criminels une longue fenêtre d'opportunité pour en abuser avant que quiconque ne s'en aperçoive.

Pour les administrateurs informatiques et les équipes de sécurité des établissements d'enseignement, cette violation rappelle l'importance d'auditer les accès des fournisseurs tiers. Les organisations qui dépendent de plateformes comme Canvas accordent souvent à ces plateformes un accès important aux systèmes d'information sur les étudiants. Examiner quelles données sont partagées, comment elles sont stockées et quelles obligations contractuelles en matière de sécurité sont imposées aux fournisseurs n'est pas un travail facultatif. C'est une gestion des risques essentielle.

Le problème plus large de la sécurité dans le secteur de l'éducation

L'éducation figure régulièrement parmi les secteurs les plus ciblés dans les rapports sur les violations de données, mais elle tend également à être parmi les moins dotées en ressources en matière de budgets et de personnel dédiés à la cybersécurité. Les écoles et les universités gèrent de grandes quantités d'informations personnellement identifiables tout en opérant souvent avec des infrastructures vieillissantes, un personnel informatique limité et des contraintes financières strictes.

La violation d'Instructure illustre le risque cumulatif lié à la centralisation des données de milliers d'établissements via une seule plateforme. Lorsque cette plateforme devient une cible, le rayon d'impact est énorme. Une violation qui pourrait affecter un seul établissement en isolation en affecte plutôt près de 9 000 simultanément.

Ce n'est pas un argument contre les plateformes edtech basées sur le cloud, qui apportent une réelle valeur ajoutée. C'est un argument en faveur d'un maintien de ces plateformes aux normes de sécurité les plus élevées et pour que les établissements pratiquent une sécurité multicouche, notamment en imposant l'authentification multifacteur, en minimisant le partage de données inutiles et en maintenant des plans de réponse aux incidents clairs.

Points d'action concrets

  • Surveillez vos comptes. Soyez attentif à toute activité de connexion inhabituelle sur les comptes liés à votre école ou université.
  • Mettez à jour vos mots de passe. Changez les identifiants de votre compte Canvas et de tout autre service partageant le même mot de passe.
  • Activez l'authentification multifacteur sur vos comptes éducatifs si elle est disponible.
  • Méfiez-vous du phishing. Soyez prudent face aux e-mails non sollicités prétendant provenir de votre établissement ou directement d'Instructure.
  • Parents : vérifiez l'empreinte numérique de votre enfant. Envisagez de placer un gel de crédit sur le numéro de sécurité sociale d'un enfant mineur si vous êtes aux États-Unis, car les données scolaires volées peuvent être utilisées abusivement pendant des années.
  • Établissements : auditez les accès des fournisseurs. Examinez quelles données les plateformes edtech tierces peuvent consulter et assurez-vous que les contrats incluent des exigences claires en matière de sécurité et de notification en cas de violation.

L'étendue totale de la violation de données d'Instructure est encore en cours d'évaluation. Au fur et à mesure que de nouveaux détails sont disponibles, les personnes et les établissements concernés doivent suivre les conseils officiels d'Instructure et rester vigilants. Les violations de cette ampleur prennent du temps à être pleinement comprises, mais les étapes ci-dessus peuvent réduire votre exposition dès aujourd'hui.