L'Autorité norvégienne de protection des données (Datatilsynet) a communiqué sur une intrusion de données d'envergure visant la plateforme d'apprentissage Canvas, fournie par la société Instructure et affectant de nombreux établissements d'enseignement supérieur.

Suite à une attaque numérique ciblée contre Instructure, l'autorité a reçu un peu moins de 20 notifications de violation de la part d'universités et de collèges norvégiens. La durée de l'attaque et la période d'accès non autorisé aux données personnelles restent inconnues. Les informations potentiellement compromises incluent les noms, adresses électroniques, identifiants étudiants et les messages échangés sur la plateforme. Le nombre de personnes concernées et le périmètre exact des données exfiltrées ne sont pas encore établis, y compris par les responsables du traitement eux-mêmes.

Le fournisseur a mis en œuvre des mesures techniques immédiates pour bloquer l'accès des attaquants. Les établissements concernés doivent désormais évaluer l'étendue de l'incident et identifier les personnes affectées. La Datatilsynet, qui attend des notifications plus détaillées, a souligné le caractère potentiellement transfrontalier de l'affaire, pouvant mener à la désignation d'une autorité de contrôle chef de file. Elle exhorte les responsables du traitement à informer les personnes concernées et met en garde contre un risque accru de tentatives d'hameçonnage et de fraude.