La société mère de la plateforme d’apprentissage piratée Canvas a conclu un accord avec les cybercriminels. Les données volées, notamment celles de la VUB et des hautes écoles flamandes, seraient à nouveau en sécurité.
Instructure, l’entreprise derrière Canvas, a conclu un accord avec les cybercriminels de Shinyhunters avant la date limite du 12 mai. Ceux-ci avaient réussi à s’introduire dans la plateforme d’apprentissage les 29 avril et 7 mai derniers. La semaine dernière, l’ampleur du piratage est devenue claire : les hackers ont pu dérober les données de 275 millions d’étudiants de près de 9 000 écoles à travers le monde. En Belgique, la VUB et plusieurs hautes écoles figurent parmi les victimes.
Des données sensibles telles que des noms d’utilisateur, des adresses e-mail, des informations sur l’inscription dans un établissement d’enseignement et des messages ont été dérobées. Shinyhunters menaçait de rendre publiques les données volées avant aujourd’hui.
Négociations réussies
Infrastructure a désormais fait savoir que des négociations ont effectivement eu lieu avec les criminels. Nous ne connaissons pas les détails de l’accord, mais les victimes du piratage de Canvas pourraient désormais dormir sur leurs deux oreilles.
Toutes les données volées ont été restituées à Infrastructure et l’entreprise a reçu une confirmation numérique de la destruction des données volées par les hackers. Shinyhunters indique également qu’il ne cherchera pas à extorquer les victimes. L’accord concerne tous les étudiants et toutes les écoles impliqués dans le piratage.
Transparence
Il est assez exceptionnel qu’une entreprise victime d’un piratage public aussi important admette ouvertement avoir conclu un accord par voie de négociation. Cette transparence est louable.
Les négociations sont fréquentes, mais elles sont rarement ébruitées. Le fait que la négociation puisse être niée fait parfois même partie de l’accord conclu. Les criminels publient alors, par exemple, de fausses données sans valeur, laissant croire qu’aucun paiement n’a été effectué et qu’ils n’avaient volé que des broutilles.
Instructure choisit ici un niveau d’ouverture raisonnable. Nous ignorons si l’entreprise a payé et quel en est le montant. La probabilité que Shinyhunters et Instructure soient parvenus à un accord financier est toutefois extrêmement élevée.
Aucune garantie absolue
En ce qui concerne les garanties de Shinyhunters, quelques nuances s’imposent. Les collectifs de hackers tels que Shinyhunters tiennent en principe parole : lorsqu’un accord est conclu, l’extorsion cesse. Cette réputation est essentielle : sinon, personne ne paierait de rançon.
Il est toutefois impossible de prouver que les données ont réellement été supprimées. Les journaux de bord montrent seulement qu’une copie des données a été effacée, mais pas qu’il s’agissait de l’unique copie. En principe, les victimes peuvent désormais être rassurées : c’est pour elles la fin de l’histoire du piratage de Canvas.
Après le piratage, Instructure avait mis Canvas hors ligne par mesure de sécurité. Le portail est entre-temps de nouveau accessible. Enfin, Steve Daly, le PDG d’Instructure, présente ses excuses les plus sincères.