Instructure conclut un accord avec des hackers : entre sécurité et confiance, découvrez les enjeux cachés

Instructure atteint un accord avec des hackers suite à une double violation de données

Une cyberattaque majeure affecte les systèmes éducatifs

Instructure, le créateur du portail d’information scolaire bien connu, a récemment annoncé avoir atteint un accord avec des hackers qui ont compromis ses systèmes à deux reprises. Ces violations ont entraîné le vol d’une quantité massive de données concernant des étudiants et des membres du personnel, perturbant ainsi des milliers d’écoles qui dépendent de ce logiciel. Cette situation soulève d’importantes questions concernant la sécurité des données dans le secteur éducatif.

Le groupe de cybercriminalité ShinyHunters s’illustre

Le groupe de hackers ShinyHunters a revendiqué la responsabilité de la première violation survenue le 29 avril. Ils ont déclaré avoir volé des données personnelles d’un total de 275 millions de personnes, incluant des informations sensibles sur des étudiants et des employés. Les hackers ont réussi à compromettre la plateforme Canvas, utilisée par près de 9 000 établissements scolaires pour gérer les données et les travaux des étudiants.

La semaine dernière, une seconde attaque a eu lieu, où les hackers ont défiguré les pages de connexion de Canvas sur les sites des écoles, dans le but de faire pression sur l’entreprise pour qu’elle paie une rançon.

Un accord controversé

Instructure a confirmé sur sa page d’incidents qu’un accord avait été atteint avec les hackers, lesquels ont fourni des preuves que les données volées avaient été détruites. De plus, la société a assuré que ses clients ne seraient pas soumis à des extorsions supplémentaires. Cependant, l’entreprise a reconnu qu’il n’y a jamais de certitude absolue dans de telles négociations.

Les détails financiers de l’accord demeurent confidentiels, et il n’a pas été précisé si Instructure avait effectivement versé une rançon. Un porte-parole de l’entreprise n’a pas souhaité commenter davantage sur cette question.

Les conséquences d’une telle décision

Le fait de payer une rançon à des cybercriminels est une pratique controversée. Les gouvernements, y compris celui des États-Unis, ont déconseillé aux victimes de cybercriminalité de céder aux demandes des hackers. Cela peut inciter ces derniers à poursuivre leurs activités criminelles. Les chercheurs en sécurité mettent également en garde contre le fait de faire confiance aux promesses des hackers, certains ayant été connus pour conserver des données volées malgré des affirmations contraires.

Des précédents inquiétants

Cette attaque contre Instructure rappelle une autre violation de données survenue chez PowerSchool, qui a touché 70 millions d’étudiants et de membres du personnel en 2024. PowerSchool a également payé les hackers, mais certains de ses clients ont ensuite été extorqués par un autre groupe criminel, qui a montré des données non détruites issues de cette violation.

Les implications pour la sécurité des données

L’incident a attiré l’attention du FBI, qui a reconnu être au courant des perturbations affectant les écoles et les institutions éducatives aux États-Unis. Bien que Canvas ne soit pas explicitement mentionné, le FBI a conseillé aux victimes de ne pas répondre aux demandes des cybercriminels.

Les données volées incluent des noms d’étudiants, des adresses e-mail personnelles et des messages échangés entre enseignants et élèves, ce qui soulève de graves préoccupations quant à la protection de la vie privée.

Les prochaines étapes pour Instructure

Instructure a reconnu que ses systèmes avaient été compromis à deux reprises en moins d’un an, mais a affirmé que les deux violations étaient des événements distincts impliquant des systèmes différents. L’entreprise poursuit son enquête et la validation de ses conclusions.

Il reste à voir qui, au sein d’Instructure, est responsable de la cybersécurité. Des questions se posent également quant à l’avenir de la direction de l’entreprise, en particulier concernant le PDG, Steve Daly, suite à ces violations.

Un appel à la vigilance dans le secteur éducatif

Les violations de données dans le secteur éducatif soulignent la nécessité pour les établissements de renforcer leur cybersécurité. Voici quelques recommandations pour les écoles et les institutions similaires :

– Mettre en place des protocoles de sécurité robustes
– Former le personnel à la reconnaissance des cybermenaces
– Effectuer des audits réguliers de sécurité
– Établir des plans de réponse en cas d’incident

La préservation de la sécurité des données est essentielle pour maintenir la confiance des étudiants et des parents dans les systèmes éducatifs. Les événements récents rappellent l’importance d’une vigilance constante face aux menaces numériques.