Canvas Instructure piraté par ShinyHunters — 275 millions d’étudiants exposés, 8 809 institutions touchées : 18 heures à décrypter pour les RSSI français

— Ce que l’on sait au 16 mai 2026

Dans la nuit du 8 au 9 mai 2026, des utilisateurs de Canvas — la plateforme LMS éditée par Instructure et utilisée par la majorité des universités anglophones, une partie des grandes écoles européennes et un nombre croissant d’établissements français via Canvas EU — découvrent une page de login défacée. Le texte affiché, signé « ShinyHunters », renvoie vers un canal Telegram listant des extraits d’échantillons exfiltrés. En quelques heures, la presse spécialisée (BleepingComputer, The Record, DataBreaches.net) confirme l’atteinte et un échantillon de 50 Go est mis en ligne en preuve.

Au fil des 18 heures qui suivent, les chiffres se précisent. Les attaquants revendiquent un accès à 8 809 instances tenant dans le multi-tenant Canvas, couvrant des universités américaines (UC Berkeley, NYU, U-Michigan), britanniques (Imperial, UCL), nord-européennes, asiatiques, et plusieurs établissements français connectés via Canvas EU. Le périmètre global est estimé à 275 millions d’étudiants et personnels actifs ou archivés, soit l’une des plus larges fuites de données éducatives jamais documentées.

Les données exposées, d’après l’échantillon inspecté par plusieurs équipes CTI dont la nôtre, incluent : nom complet, e-mail institutionnel, e-mail personnel renseigné en option, identifiant étudiant (matricule), date de naissance partielle, hash de mot de passe pour les comptes ne passant pas par SSO, contenu de messages internes Canvas, métadonnées de rendus de devoirs et historique de connexion sur 24 mois. Aucune donnée bancaire n’est exposée — Canvas ne stocke pas de paiement — mais le risque de phishing ciblé sur cohortes étudiantes est massif.

Instructure a publié un premier communiqué le 10 mai 2026 confirmant « un incident de sécurité affectant une partie du périmètre multi-tenant » sans qualifier le nombre d’institutions touchées. Un second communiqué, le 12 mai, reconnaît la défacement de la page de login et un « accès non autorisé à des données de comptes » sans confirmer les volumes annoncés par ShinyHunters. L’éditeur a engagé Mandiant pour la réponse à incident et notifié les autorités compétentes (FBI, ICO, CNIL pour le périmètre EU).

Avis d’expert

« Le profil d’attaque ShinyHunters tel qu’on l’observe depuis 2024 sur Snowflake, AT&T, Ticketmaster ou Santander est cohérent avec ce qu’on voit ici : vol d’identifiants OAuth ou de jetons API au niveau d’un fournisseur, pivot vers le SaaS, exfiltration massive via les API publiques, puis extorsion. La leçon est toujours la même : votre périmètre SaaS n’est qu’aussi fort que le maillon le plus faible du chaînage SSO et API. »

Karim Belaïd, Pentester senior OSCP, ex-ANSSI — WebGuard Agency

— Pourquoi cet incident change l’échelle

Trois éléments font de cette compromission un point de bascule pour l’écosystème éducatif. Premièrement, le volume : 275 millions d’enregistrements, c’est l’équivalent additionné de quatre fois la population française et plus du double de l’incident MOVEit 2023. Deuxièmement, la nature de la donnée : un identifiant étudiant suivi sur 15 à 40 ans (carrière, alumni, ESR public) constitue une donnée de long terme, ré-exploitable contre les mêmes cibles plusieurs décennies. Troisièmement, l’homogénéité du périmètre : 8 809 instances tenant compromises simultanément signent un défaut structurel chez l’éditeur, pas une mosaïque d’erreurs côté clients.

L’incident s’inscrit dans une campagne ShinyHunters plus large initiée fin 2025, qui cible spécifiquement les écosystèmes SaaS B2B et leurs intégrations OAuth. Cushman & Wakefield, second nom confirmé cette semaine, a annoncé 500 000 enregistrements Salesforce exfiltrés via le même TTPs (Tactics, Techniques, Procedures) — usurpation d’un OAuth token de connecteur tiers, persistance via app password, exfiltration via SOQL bulk API. La probabilité d’autres victimes en cours d’instruction est élevée.

Pour les RSSI français, le risque immédiat n’est pas seulement la donnée elle-même mais ce qu’elle permet : phishing massif personnalisé (le matricule étudiant rend crédible un e-mail prétendument envoyé par la scolarité), crédential stuffing sur les portails alumni et services bancaires étudiants, usurpation d’identité pour ouvertures de compte ou demandes de bourses frauduleuses. Sur ce point, notre audit de périmètre NIS2 intègre désormais un volet « dépendances SaaS critiques ».

— ShinyHunters : qui sont-ils et que demandent-ils ?

ShinyHunters est un collectif cybercriminel anglophone actif depuis 2020, structuré autour de profils prolifiques sur les forums BreachForums et XSS. Le groupe s’est fait connaître par les compromissions Tokopedia (2020, 91 M), Wattpad (270 M), AT&T (73 M, 2024) et la campagne Snowflake 2024 visant Ticketmaster, Santander et Advance Auto Parts. À la différence de groupes ransomware purs comme LockBit ou ALPHV, ShinyHunters n’exploite pas systématiquement de chiffrement : leur modèle économique repose sur l’exfiltration et la double extorsion (paiement par la victime + revente sur forum si non-paiement).

Dans l’incident Canvas, les attaquants exigent une rançon non publiquement chiffrée d’Instructure, sous menace de publication intégrale du jeu de données d’ici fin mai 2026. Plusieurs établissements concernés ont reçu en parallèle des e-mails « d’information » offrant un retrait partiel de leurs jeux de données contre paiement : cette pratique d’extorsion en cascade vise à fractionner la pression et augmenter le taux de réponse positive.

À titre indicatif, l’observatoire des grandes campagnes SaaS B2B chez Plug Tech et l’analyse open source publiée par D-Open identifient des chevauchements d’infrastructure entre les opérations Snowflake 2024 et la campagne Canvas/C&W 2026, suggérant la réutilisation des mêmes panels d’infostealers comme Lumma et StealC pour la phase initiale de vol de credentials.

— Plan d’action 18 heures pour un RSSI français

Si votre établissement utilise Canvas (directement ou via une convention Erasmus avec une université anglophone partenaire), voici la séquence à exécuter dans la journée qui suit la lecture de ce communiqué.

1. 1
   Inventaire exposition

   Listez en moins de 2 h tous vos tenants Canvas actifs et archivés, les comptes de service connectés, les jetons OAuth délivrés à des intégrations tierces (Turnitin, Zoom, Microsoft 365).

2. 2
   Rotation des secrets

   Révoquez et régénérez tous les jetons API, clés OAuth et secrets de service liés à Canvas. Forcer la rotation des credentials SSO côté IdP (ADFS, Azure AD, Okta).

3. 3
   Notification CNIL 72 h

   Saisissez le DPO. Préparez la déclaration d’incident CNIL au titre du RGPD article 33, même si le sous-traitant Instructure prend la main : la responsabilité de notification incombe au responsable de traitement.

4. 4
   Communication étudiants

   Préparez un message clair : nature des données potentiellement exposées, risques (phishing, usurpation), recommandations (changer mot de passe Canvas, activer MFA, vigilance e-mails). Évitez le déni — la presse spécialisée a confirmé les volumes.

5. 5
   Surveillance phishing

   Activez une vigilance renforcée SOC sur les e-mails entrants citant un matricule étudiant ou une URL Canvas. Bloquez préventivement les domaines homoglyphes (canvas-instructure-fr.com, etc.).

6. 6
   Revue contractuelle

   Sortez votre DPA (Data Processing Agreement) Instructure. Vérifiez les clauses d’assurance cyber, de notification d’incident, et le périmètre de responsabilité sous-traitant. Préparez un courrier d’information à votre direction générale.

Avis d’expert

« Les RSSI d’établissements me disent souvent : “Canvas, c’est Instructure, c’est leur problème.” Faux. Le RGPD est clair : vous êtes responsable de traitement, eux sont sous-traitants. Vous notifiez la CNIL, vous informez les personnes, vous gérez la cellule de crise communication. Délégation n’est pas exonération. »

Karim Belaïd, Pentester senior OSCP, ex-ANSSI — WebGuard Agency

— Perspectives : la dépendance SaaS de l’ESR devient un risque systémique

L’enseignement supérieur a basculé en moins de cinq ans (2020-2025) sur des plateformes LMS multi-tenant gérées par un nombre restreint d’éditeurs nord-américains : Instructure (Canvas), Anthology (Blackboard), D2L (Brightspace), Open LMS (Moodle hébergé). Cette concentration crée une exposition systémique : une faille chez l’éditeur compromet simultanément des milliers d’établissements et des centaines de millions d’utilisateurs. La même logique se reproduit côté ERP scolaire (PowerSchool, 2025), bibliothèque numérique (ProQuest, Ex Libris) et examens en ligne.

La directive NIS2, transposée en droit français en octobre 2024 et en phase de contrôle actif depuis janvier 2026, classe désormais les établissements d’enseignement supérieur recevant plus de 5 000 inscrits ou gérant des contrats de recherche stratégiques comme « entités importantes ». Cela les expose à des obligations de gestion des risques de chaîne d’approvisionnement (article 21.2.d), incluant la due diligence cyber sur leurs fournisseurs LMS. Beaucoup d’établissements n’ont pas encore documenté formellement cette diligence.

La conséquence prévisible : dans les 12 à 18 mois, attendre une vague d’audits de fournisseurs SaaS critiques côté universités et grandes écoles, une remise à plat des clauses contractuelles (assurance cyber, plafonds de responsabilité, droits d’audit) et un repositionnement des éditeurs eux-mêmes — Instructure a déjà annoncé un programme « Trust Center » renforcé avec audit SOC 2 Type II annuel et publication trimestrielle de bulletins de sécurité.

Conclusion

L’incident Canvas/Instructure de mai 2026 n’est pas un cygne noir : c’est la conséquence cumulée d’une concentration SaaS extrême dans l’ESR, d’une attention sécurité insuffisante de plusieurs fournisseurs, et de l’industrialisation des techniques d’exfiltration ShinyHunters depuis Snowflake en 2024. Les RSSI français qui auront cartographié leurs dépendances LMS, durci leurs intégrations SSO, et préparé un protocole de notification 72 h aborderont la suite — car il y aura une suite — avec un coup d’avance.

Pour ceux qui découvrent l’ampleur du périmètre cette semaine, les 18 prochaines heures comptent davantage que les 18 mois suivants : rotation des secrets, communication étudiants, déclaration CNIL et engagement contractuel vis-à-vis du sous-traitant doivent être lancés en parallèle, pas en séquence.