Canvas paralysé : ShinyHunters frappe 9 000 écoles en plein examens finaux

Le 7 mai 2026 ^[1], en plein cœur de la période des examens finaux dans les universités américaines, la plateforme Canvas a basculé hors ligne. Pour les étudiants de Harvard ^[2], du MIT ^[3], de Cornell ^[4] ou de Penn State ^[2], plus moyen d’accéder à leurs cours, leurs notes ou leurs devoirs. À l’origine de la panne: une cyberattaque revendiquée par le groupe ShinyHunters ^[5], qui affirme détenir les données de 275 millions de personnes ^[6] réparties dans près de 9 000 écoles à travers le monde ^[7].

LES ENJEUX

Concentration du marché éducatif

Plus de 8 000 institutions et 30 millions d'utilisateurs dépendent d'une seule plateforme: une faille suffit à paralyser un continent.

Faille des comptes gratuits

L'attaque est passée par les comptes Free-For-Teacher, une offre gratuite que Instructure a dû fermer temporairement.

Vague de phishing à venir

Avec noms, emails et numéros étudiants, les pirates disposent du matériau idéal pour des campagnes ciblées.

Récidive et précédents ignorés

Septembre 2025 chez Instructure, janvier 2025 chez PowerSchool: huit mois pour ne rien corriger.

Justice transnationale

Cinq mis en examen à Paris, Sébastien Raoult condamné à Seattle: ShinyHunters reste une nébuleuse insaisissable.

Silence des régulateurs

Ni le Department of Education ni le FERPA ne sont publiquement invoqués, malgré la présence probable de mineurs dans les données.

Instructure ^[8], la maison mère de Canvas, a placé sa plateforme en mode maintenance ^[9] avant de la rétablir tard dans la soirée du 7 mai ^[10]. Mais l’incident, qui remonte en réalité au 29 avril 2026 ^[11], expose une vulnérabilité structurelle du géant des technologies éducatives, dont les outils sont utilisés par plus de 8 000 institutions ^[12] et 30 millions d’utilisateurs actifs ^[13].

Une faille logée dans les comptes gratuits pour enseignants

L’enquête interne menée par Instructure a identifié le point d’entrée: les comptes Free-For-Teacher ^[16], une offre gratuite décrite par l’entreprise comme « une partie centrale de [sa] plateforme » ^[17]. Les pirates ont exploité une faille liée à ces comptes ^[18], avant de modifier le 7 mai les pages affichées aux étudiants et enseignants connectés via Canvas ^[19]. Ils ont injecté un fichier HTML pour défigurer les écrans de connexion et y faire apparaître leur message de rançon ^[20].

Réponse d’Instructure: fermeture temporaire des comptes Free-For-Teacher ^[21], révocation des identifiants privilégiés et jetons d’accès ^[22], rotation de clés internes ^[23] et restriction des voies de création de jetons ^[24]. L’entreprise dit avoir notifié le FBI ^[25] et la Cybersecurity and Infrastructure Security Agency ^[26].

Examens annulés, étudiants pris au piège

L’impact pédagogique a été immédiat. Penn State a annoncé qu’aucune résolution n’était attendue dans les 24 heures ^[27] et que les examens prévus sur Canvas ne seraient pas disponibles ^[28]. UMass Lowell a reporté ses examens finaux du vendredi au lundi ^[29]. L’University of California a ordonné à tous ses campus de bloquer ou rediriger l’accès à Canvas ^[30]. Columbia a indiqué travailler à « minimiser les perturbations académiques » ^[31].

À Cornell, la plateforme est restée inaccessible six heures durant ^[32], de 16h30 à 22h15 ^{[33] [34]}. Hasham Khan ^[35], étudiant qui révisait son examen final de physique, résume l’angoisse partagée par des millions d’autres: « Si je ne peux pas accéder aux notes, je ne sais pas comment étudier correctement » ^[36].

Données exposées: ce qui a fuité, ce qui n’a pas fuité

Instructure a confirmé que les données exfiltrées le 29 avril incluent des noms, adresses email, numéros d’identification étudiants et messages échangés entre utilisateurs de Canvas ^[37]. L’entreprise affirme n’avoir trouvé aucune preuve que des mots de passe, dates de naissance, identifiants gouvernementaux ou informations financières aient été compromis ^[38]. TechCrunch ^[39], qui a obtenu un échantillon des données auprès de ShinyHunters, a confirmé que celui-ci ne contenait effectivement ni mots de passe ni données sensibles supplémentaires ^[40].

Deux chiffres circulent et méritent d’être distingués. ShinyHunters revendique 275 millions de personnes ^[6] dans la base, tandis qu’il affirme à TechCrunch que le total d’adresses email uniques volées atteint 231 millions ^[41]. L’écart entre les deux chiffres s’explique mécaniquement: le premier désigne le nombre total d’enregistrements individuels (un même utilisateur pouvant exister dans plusieurs établissements clients d’Instructure), tandis que le second correspond aux adresses email uniques après déduplication. Deux métriques distinctes pour un même jeu de données - ni l’une ni l’autre n’a été vérifiée indépendamment ^[42]. Le groupe a fixé un ultimatum au 12 mai 2026 ^[43]: sans « négociation d’un accord » ^[44], les données seront publiées.

Huit mois pour ne rien corriger

L’incident de mai n’est pas le premier coup contre Instructure. Une précédente attaque revendiquée par ShinyHunters remonte à septembre 2025 ^[14]. À l’époque, l’entreprise avait assuré qu’aucune donnée sensible liée à Canvas n’avait été compromise ^[45] - un communiqué qui avait clos la séquence médiatique. Dans son message du 7 mai, ShinyHunters tacle directement cette gestion: « ShinyHunters a piraté Instructure (encore). Au lieu de nous contacter pour résoudre le problème, ils nous ont ignorés et ont fait quelques ‘correctifs de sécurité’ » ^[15].

Entre septembre 2025 et avril 2026, les comptes Free-For-Teacher - point d’entrée identifié par l’enquête interne post-mortem ^[18] - sont restés ouverts dans leur configuration d’origine. Ce n’est qu’après l’attaque du 29 avril qu’Instructure a décidé de les fermer temporairement ^[21]. Huit mois pendant lesquels la même surface d’attaque est restée disponible: la déclaration rassurante de septembre n’a manifestement pas été suivie d’une refonte de l’offre gratuite. Les « correctifs de sécurité » que l’entreprise dit avoir déployés ^[46] n’ont pas couvert le vecteur réellement exploité.

ShinyHunters: ados, jeunes adultes et récidive

Luke Connolly ^[47], analyste chez Emsisoft, décrit ShinyHunters comme « une affiliation lâche d’adolescents et de jeunes adultes basés aux États-Unis et au Royaume-Uni » ^[48]. Le groupe est apparu en avril 2020 ^[49] selon la société Intel471 ^[50]. Il a ciblé Google ^[51], LVMH ^[52], Allianz Life ^[53], Adidas ^[54] et la filiale Ticketmaster de Live Nation ^[55]. En avril, il revendiquait le vol de près de 80 millions d’enregistrements chez Rockstar Games ^[56].

Cadre légal: ce que risquent les pirates

L’exfiltration massive de données et la demande de rançon qui l’accompagne tombent sous des qualifications pénales lourdes des deux côtés de l’Atlantique. En droit français, l’article 323-3 du Code pénal punit de cinq ans d’emprisonnement et 150 000 euros d’amende le fait d’extraire, de détenir ou de transmettre frauduleusement des données d’un système de traitement automatisé. L’article 323-1 sanctionne quant à lui de deux ans et 60 000 euros le simple accès frauduleux à un système informatique - peines portées à trois ans et 100 000 euros lorsqu’il en résulte une suppression ou une modification de données, comme c’est le cas avec la défiguration des pages de connexion Canvas. Aux États-Unis, la législation fédérale sur la fraude informatique (18 U.S.C. § 1030), invoquée dans la quasi-totalité des poursuites fédérales en matière de cybercriminalité, prévoit jusqu’à dix ans de prison pour l’accès non autorisé à un ordinateur protégé avec exfiltration de données. C’est sur le fondement de ces textes - combinés au wire fraud (18 U.S.C. § 1343) et à l’aggravated identity theft (18 U.S.C. § 1028A) - que la justice américaine a obtenu des condamnations contre des membres présumés de ShinyHunters.

Justice transnationale: les limites d’une dissuasion

Fin juin, cinq hommes ont été mis en examen à Paris ^[57], suspectés d’appartenance à ShinyHunters, selon la procureure de Paris Laure Beccuau ^[58]. Sébastien Raoult ^[59], jeune Vosgien interpellé à Rabat en 2022 ^[60], a été condamné aux États-Unis à trois ans de prison ^[61] et à plus de 5 millions de dollars de dommages ^[62] pour conspiracy to commit wire fraud et aggravated identity theft. Mais entre son arrestation marocaine, son extradition contestée par sa famille, son procès américain et sa condamnation, près de trois ans se sont écoulés - pendant lesquels le groupe a continué d’opérer.

Cette temporalité illustre les obstacles de la coopération judiciaire en matière de cybercriminalité: compétence territoriale enchevêtrée (auteurs présumés en Europe, victimes aux États-Unis, infrastructure technique partout), procédures d’extradition longues et politiquement sensibles, fragmentation des cadres juridiques nationaux. La condamnation de Raoult à trois ans - soit environ un mois de prison par million de dollars de dommages - interroge l’effet dissuasif réel: en mai 2026, ShinyHunters frappe à nouveau, signature comprise. Cinq mises en examen à Paris, une condamnation à Seattle: le groupe reste insaisissable parce qu’il est, justement, une nébuleuse - et non une organisation hiérarchisée susceptible d’être démantelée par une opération coordonnée.

L’angle mort: un précédent qui aurait dû alerter

Ce que les communiqués d’Instructure ne disent pas: le secteur éducatif américain savait déjà. En janvier 2025, PowerSchool ^[63] avait été victime d’un vol de données concernant 62 millions d’élèves ^[63], soldé par un accord amiable de 17,25 millions de dollars ^[64]. Un an plus tard, c’est le même schéma qui se rejoue chez le concurrent: un fournisseur centralise les données de milliers d’établissements, une faille apparemment mineure (ici, des comptes gratuits pour enseignants) ouvre une brèche systémique. La concentration du marché éducatif sur quelques plateformes cloud crée une surface d’attaque démesurée - un angle que ni Instructure ni les universités clientes n’ont publiquement adressé. Les incidents comparables sur d’autres LMS concurrents (Blackboard, Moodle, D2L) n’ont pas été documentés dans les sources consultées pour cet article, mais le cas PowerSchool suffit à établir le précédent sectoriel.

Le silence des régulateurs

Aucune des sources consultées ne mentionne de réaction du Department of Education américain ni d’invocation explicite d’une loi fédérale protégeant les données éducatives des élèves, mineurs compris. Aucune saisine publique de la Federal Trade Commission n’a non plus été rapportée à ce stade. Côté européen, l’incident concerne des établissements clients sur le continent (l’Université de Tilburg, aux Pays-Bas, mène sa propre enquête sur l’exposition de ses systèmes), ce qui ouvre potentiellement le RGPD: aucune autorité de contrôle n’a toutefois communiqué sur une procédure formelle au moment de la rédaction. Cette absence de réaction institutionnelle visible, alors que les 9 000 écoles revendiquées incluent vraisemblablement des établissements K-12 et donc des mineurs, constitue en soi un signal.

Phishing: la menace de seconde vague

Le Centre for Cybersecurity Belgium ^[65] a alerté ses écoles dès la confirmation de l’incident ^[66]. La consigne est claire: avec noms, emails et numéros d’étudiant, les criminels peuvent fabriquer des messages de phishing convaincants ^[67]. Georgetown a explicitement demandé à ses utilisateurs de se méfier des emails non sollicités semblant provenir de Canvas ^[68]. L’University of Michigan a recommandé une déconnexion immédiate de la plateforme ^[69].

Les chiffres avancés par les pirates - 275 millions d’utilisateurs, près de 9 000 écoles - n’ont pas été vérifiés indépendamment ^[42]. Mais le simple fait que ces volumes soient plausibles, dans un secteur où une plateforme unique sert plus de 8 000 institutions ^[70], dit l’ampleur du risque. La date butoir du 12 mai approche.