Cyberattaque contre la plateforme d'apprentissage Canvas : des écoles américaines reportent les examens finaux
Le système de gestion de l'apprentissage Canvas, exploité par Instructure, a été touché par une cyberattaque coordonnée à travers les États-Unis à partir de 4 h 30 du matin (heure de l'Est) le vendredi 8 mai. L'attaque a coïncidé avec le début officiel de la semaine des examens, et des milliers d'écoles, de lycées et d'universités ont dû reporter les épreuves de fin d'année. Selon Instructure, il s'agissait d'une combinaison coordonnée d'attaques DDoS et d'exfiltration de données qui a touché 78 % du système.
Canvas est le plus grand système de gestion de l'apprentissage en Amérique du Nord, utilisé par plus de 30 millions d'étudiants actifs et 1,2 million d'enseignants. Parmi les établissements touchés figurent Harvard, Stanford, MIT, le système de l'Université du Texas, le système de la California State University et, côté K-12, le Los Angeles Unified School District (LAUSD). Le nombre total d'élèves concernés a été estimé à 14 millions dans les 24 premières heures des signalements.
L'attaque a été détectée à 4 h 30 du matin vendredi lorsque la page de connexion à Canvas a cessé de répondre. L'équipe de sécurité d'Instructure a d'abord supposé un problème de performance, mais une alerte d'exfiltration de données s'est déclenchée à 9 h 30. La directrice de la sécurité de l'information (CISO) de l'entreprise, Sandra Park, a déclaré lors d'un point presse : « À la manière dont les premiers paquets ont été construits, nous avons conclu qu'il s'agissait d'une attaque planifiée et soutenue. »
Les données volées n'ont pas encore été pleinement catégorisées. Mme Park a déclaré : « Notre plus grande préoccupation est la possibilité que des dossiers d'identité d'étudiants et des corrigés d'examens aient été dérobés. Nous prévoyons de terminer l'analyse d'impact d'ici la fin de cette semaine. » L'entreprise n'a pas encore donné d'estimation du coût des services de protection d'identité pour 14 millions d'étudiants. Les analystes de l'industrie estiment que les fuites de ce type ajoutent environ 280 dollars par utilisateur et par an de coûts de protection.
La division cybercriminalité du FBI a ouvert une enquête vendredi après-midi. Le porte-parole du FBI, Jordan Mitchell, a déclaré : « Nous traitons cela comme une menace mondiale. L'identité du groupe à l'origine de l'attaque n'a pas encore été confirmée, mais l'analyse technique montre des indices compatibles avec un groupe d'Europe de l'Est. » L'Agence de cybersécurité et de sécurité des infrastructures (CISA) a émis un avis enjoignant aux entités fédérales d'éducation de basculer temporairement vers des plateformes alternatives.
Les réactions des établissements ont varié. Harvard a reporté ses examens à la semaine suivante. Stanford a reçu des propositions d'urgence pour une version papier-crayon. MIT est passé à des examens à domicile. La plupart des plus petits collèges, faute de moyens pour se réorganiser aussi vite, ont simplement annulé les examens et décidé de noter le semestre sur la base des partiels et des devoirs. Certains étudiants craignent que la situation n'affecte le calendrier de leur diplôme.
Dans le LAUSD, 660 000 élèves K-12 ont été touchés. Le directeur Alberto Carvalho a déclaré vendredi soir : « L'infrastructure de notre éducation ne devrait pas être à ce point dépendante d'une seule plateforme. C'est un problème d'investissement plus large. » Le district va consulter une commission pour diversifier ses fournisseurs de technologies éducatives.
Le groupe à l'origine de l'attaque n'a pas encore revendiqué publiquement. Un rapport préliminaire de la société d'analyse de logiciels malveillants Crowdstrike a montré que la vulnérabilité exploitée était liée à un CVE de proxy Apache publié en mars 2026 (CVE-2026-1247). Instructure n'a peut-être pas appliqué le correctif de mars ; la CISO Mme Park a indiqué que la question « est toujours en cours d'examen ».
Le secteur edtech s'inquiète depuis des années de la surface d'attaque créée par la numérisation. Une enquête de NPR l'an passé a indiqué que 73 % des districts scolaires américains avaient subi un incident cyber au cours des trois dernières années. L'intensité des attaques au niveau K-12 reflète la structure fédérale du pays, qui laisse à chaque district son propre budget informatique et tend à laisser les systèmes non patchés.
À la date de mai 2026, la chronologie de retour en service de Canvas est estimée à 72 heures ; l'analyse des données de la fuite devrait demander au moins deux semaines. Les écoles concernées ont décidé d'étaler les examens sur la semaine du 14 au 21 mai. Pour les fournisseurs edtech, cet incident est interprété comme un signal d'alerte : il leur faut vendre la résilience en sécurité autant que le prix et les fonctionnalités. « Ce secteur est arrivé au moment de repenser l'architecture de sécurité comme une priorité métier », a déclaré la professeure Anita Patel, chercheuse en technologies éducatives à Stanford.