Des pirates informatiques viennent de dérober les données de 9 000 écoles et universités à travers le monde. Comment protéger la vie privée des étudiants ?
infohightech ·
Cette semaine, Instructure, fournisseur américain de technologies éducatives, a annoncé un important incident de cybersécurité affectant son système Canvas . Ce dernier est utilisé par des écoles et des universités du monde entier, notamment en Australie.
Le groupe de cybercriminels ShinyHunters a revendiqué la responsabilité de l’attaque. Jeudi, le groupe a affirmé avoir piraté le système informatique d'Instructure lors d'une nouvelle attaque. Près de 9 000 établissements d'enseignement , impliquant 275 millions d'élèves, d'enseignants et de membres du personnel, seraient touchés par cette fuite de données.
Le piratage a entraîné le défaçage des pages de connexion des établissements scolaires . En Australie, des étudiants d'universités comme celle de Melbourne n'ont pas pu soumettre leurs devoirs suite à une panne mondiale. Selon les premières informations du gouvernement du Queensland, les élèves et le personnel des écoles publiques depuis 2020 sont touchés.
Instructure a confirmé que les informations divulguées peuvent inclure les noms, adresses électroniques, numéros d'identification des étudiants et messages privés échangés entre les utilisateurs.
L'apprentissage se fait en ligne – tout comme l'information des étudiants
Canvas est largement utilisé dans le secteur de l'éducation australien . Il fait partie des nombreux « systèmes de gestion de l'apprentissage » numériques qui offrent des services d'enseignement, d'évaluation, de communication et de soutien aux étudiants.
Parmi les autres systèmes courants, citons Moodle et Blackboard, qui aident les établissements à gérer les cours, les évaluations, les présences, les analyses (comme l'engagement des étudiants) et l'administration des étudiants.
La croissance rapide de l'enseignement en ligne et hybride (où les étudiants apprennent à la fois en ligne et en présentiel) a encouragé l'adoption de ces systèmes dans les écoles et les universités.
De nombreux établissements exploitent désormais ces systèmes via des modèles basés sur le cloud plutôt que de gérer l'ensemble de l'infrastructure en interne. Les étudiants et le personnel peuvent accéder à ces plateformes via des navigateurs web, des applications de bureau et des appareils mobiles.
De ce fait, les établissements d'enseignement stockent désormais d'importants volumes d'informations sensibles sous forme numérique .
Bien que ces systèmes offrent flexibilité et accessibilité, ils créent également des environnements numériques hautement interconnectés qui peuvent devenir des cibles attrayantes pour les cybercriminels.
Un changement est en cours.
L'incident Canvas n'est pas un cas isolé. En 2025, des attaques de rançongiciels visant les écoles et les universités ont connu une augmentation de 23 % par rapport à l'année précédente.
Mais un changement important est également en train de se produire.
Les violations de données précédentes touchaient souvent une seule université ou école par le biais de rançongiciels ou de systèmes internes compromis .
À l'inverse, les incidents impliquant Canvas et une autre plateforme, PowerSchool , illustrent le risque croissant de « concentration des plateformes ». Dans ce cas, un seul incident de cybersécurité peut rapidement affecter simultanément des milliers d'établissements et des millions d'étudiants, car de nombreuses organisations dépendent des mêmes fournisseurs. Malheureusement, le secteur de l'éducation n'est pas le seul vulnérable à de tels incidents ; tout service dépendant d'Internet peut être touché.
Une autre préoccupation émergente concerne la sensibilité croissante des informations divulguées. Des incidents récents impliqueraient des communications privées au sein d'établissements scolaires entre tous les acteurs concernés (élèves, enseignants et personnel). Ceci soulève des inquiétudes plus générales quant au respect de la vie privée, à la sécurité, au bien-être mental et à la confiance envers l'institution.
Que devons-nous faire pour mieux protéger les informations des étudiants ?
L'incident Canvas met en lumière la dépendance croissante du secteur de l'éducation vis-à-vis des grandes plateformes de cloud et de technologies éducatives.
Lorsqu'un système largement utilisé subit une cyberattaque, ses conséquences peuvent rapidement se propager à des milliers d'établissements et toucher des millions d'étudiants. Les écoles et les universités ont donc besoin d'un contrôle renforcé des fournisseurs et d'une plus grande transparence quant à la manière dont les données des étudiants sont stockées, partagées et protégées.
Les institutions ont également besoin de contrôles d'accès renforcés . Cela implique l'authentification multifacteurs, une gestion des identités plus stricte, le chiffrement et une approche « zéro confiance ». Autrement dit, chaque demande d'accès est vérifiée en permanence.
Les informations sensibles relatives au bien-être des étudiants, au soutien psychologique ou à l'aide aux personnes handicapées doivent bénéficier d'une protection renforcée et d'un accès restreint.
La sensibilisation à la cybersécurité au sein de la communauté éducative doit également être renforcée. Les élèves, les parents et les enseignants sont souvent la cible d'escroqueries par hameçonnage et usurpation d'identité suite à des violations de données.
Les gouvernements devraient également envisager des normes de cybersécurité plus strictes et plus cohérentes pour les fournisseurs de technologies éducatives.
En l'état actuel des choses, ces violations peuvent potentiellement affecter la vie privée, la sécurité, la confiance et le bien-être mental de l'ensemble de la communauté.