Canvas/Instructure conclut un accord avec ShinyHunters : pourquoi le RGPD ne s'efface pas avec une « destruction » de données
Instructure, l'éditeur américain de la plateforme d'apprentissage Canvas, vient d'annoncer un accord avec les cybercriminels de ShinyHunters, un mois après l'attaque qui a exposé environ 275 millions d'enregistrements liés à près de 9 000 établissements scolaires. La société affirme avoir récupéré les données volées et reçu une « confirmation numérique de leur destruction ». Pour les DPO européens, ce dénouement illustre crûment la zone grise entre négociation post-incident et obligations RGPD.
Ce qui s'est passé
Selon Infosecurity Magazine, Instructure a publié le 13 mai 2026 une mise à jour d'incident reconnaissant un « accord avec l'acteur non autorisé impliqué ». L'entreprise basée dans l'Utah ne précise pas si de l'argent a changé de mains — ShinyHunters exige habituellement un paiement en Bitcoin via négociations chiffrées — mais affirme que l'arrangement couvre tous les clients et qu'aucune institution ne sera relancée individuellement.
La fuite initiale exploitait une faille sur les support tickets de la version « Free-For-Teacher » de Canvas. Les attaquants ont siphonné environ 275 millions d'enregistrements : noms d'utilisateurs, adresses e-mail, intitulés de cours, données d'inscription et messages. Instructure souligne que les contenus pédagogiques, les copies et les mots de passe n'ont pas été compromis. Une seconde vague, le 7 mai, a vu les portails de connexion d'environ 330 établissements défigurés par des messages d'extorsion, avec une deadline fixée au 12 mai pour engager les négociations.
Pourquoi c'est important pour les DPO européens
Même si Instructure est américain, ses clients européens — universités, écoles, organismes de formation — restent responsables de traitement sous le RGPD. La fuite déclenche mécaniquement la chaîne de notification : contrôle de l'autorité (article 58), notification à la CNIL sous 72 heures, et information des personnes concernées en cas de risque élevé. La « destruction » revendiquée par les criminels ne désamorce aucune de ces obligations.
Le cas Canvas s'inscrit dans une série inquiétante de fuites par sous-traitants scolaires : Navigate360 (BlueLeaks 2.0) et ÉduConnect ont exposé en quelques mois des centaines de milliers de mineurs. À chaque fois, la même mécanique : le silence ou le faux apaisement du sous-traitant n'exonère jamais le responsable de traitement. Notre veille sur les contentieux bancaires américains rappelle d'ailleurs que les juridictions admettent désormais la qualité pour agir des victimes même sans fraude avérée — un signal transposable en Europe via l'article 82 du RGPD (responsabilité solidaire).
Ce que ça change pour les organisations
Trois actions concrètes s'imposent aux DPO dont l'organisme utilise Canvas, ou tout LMS américain :
- Notifier sans attendre la « confirmation de destruction ». Le règlement européen impose la notification à 72 heures dès que le responsable de traitement a connaissance d'une violation à risque. Un accord privé entre Instructure et les attaquants ne « répare » pas la violation au sens de l'article 33 — il en modifie seulement la communication publique.
- Cartographier l'exposition réelle. Les champs volés (e-mails, noms, intitulés de cours) suffisent à monter des campagnes de phishing ciblé. Les chercheurs de Halcyon alertent sur l'usurpation d'administrateurs scolaires, de support IT et de services d'aide financière. Notre guide ransomware détaille la procédure à activer dès la détection.
- Réviser le contrat de sous-traitance. L'article 28 du RGPD impose au sous-traitant d'assister le responsable de traitement dans la notification. Une « destruction » revendiquée par les attaquants n'est pas une preuve juridique. Exigez d'Instructure les analyses forensiques, la liste exacte des données concernant vos utilisateurs et les mesures correctives mises en œuvre.
Le risque résiduel de phishing persistera bien au-delà du « settlement ». Halcyon recommande aux institutions touchées de diffuser sans délai des avis de prudence à leurs personnels, étudiants et familles. Un travail amont, qui passe aussi par la sensibilisation continue des collaborateurs aux signaux d'alerte.
Ce que Leto pense de cette décision
Annoncer un « accord » avec ShinyHunters comme un retour à la normale est juridiquement trompeur. Aucune autorité européenne — CNIL en tête — ne considère que la confirmation numérique de destruction de données par un groupe criminel libère le responsable de traitement de ses obligations. Pire, l'argument va à l'encontre de la doctrine constante des forces de l'ordre : payer ou négocier renforce l'écosystème criminel et offre zéro garantie opérationnelle. Pour un DPO, la seule réponse défendable est celle du RGPD : notifier, documenter, informer, corriger. Le reste, c'est du management de réputation — utile pour Instructure, sans valeur pour la conformité.
