Namen, emailadressen, studentnummers en de correspondentie tussen studenten en docenten zouden zijn buitgemaakt bij een hack op het Amerikaanse Instructure, de maker van Canvas. Dat maakte het bedrijf afgelopen vrijdag bekend.
Hackersgroep ShinyHunters, eerder betrokken bij de grote Odido-inbraak, heeft de hack opgeëist en beweert de gegevens van 275 miljoen studenten, docenten en andere gebruikers in handen te hebben. Daar zitten ook Nederlandse studenten tussen, claimt de groep.
Volgens de leverancier van Canvas is niet uit te sluiten dat er gegevens van de UM zijn buitgemaakt. De universiteit laat weten dat, op basis van de informatie die ze nu heeft, nog niet duidelijk is om welke soort gegevens het gaat en wie precies slachtoffer zijn geworden van de hack.
Er zijn geen aanwijzingen dat er wachtwoorden zijn gelekt, maar het valt niet uit te sluiten dat de hackers een lijst met mailadressen in handen hebben gekregen. Zulke gegevens kunnen gebruikt worden voor zogenoemde phishingmails. De UM vraagt studenten en medewerkers extra alert te zijn op verdachte berichten, zoals mails die vragen om persoonlijke gegevens.
De leverancier van Canvas is nog altijd bezig in kaart te brengen welke gegevens bij de hack zijn gelekt. Zodra dat bekend is, is er meer te zeggen over de gevolgen van de cyberaanval voor Maastrichtse studenten en medewerkers.
Zeker negen Nederlandse instellingen
Docenten van zeker zeven Nederlandse universiteiten en twee hogescholen gebruiken Canvas om bijvoorbeeld lesstof en opdrachten te delen met studenten. Het gaat om de twee Amsterdamse universiteiten, de Erasmus Universiteit, Tilburg University, de Universiteit Maastricht, de Universiteit Twente en de TU Eindhoven, en om de Hogeschool Utrecht en Fontys.
Studenten kunnen op Canvas hun roosters of cijfers bekijken. Ook kunnen ze binnen de Canvasomgeving berichten sturen naar klasgenoten of docenten. Al die gegevens (maar niet de wachtwoorden) zouden in handen zijn van de hackers.
Hoe ShinyHunters de data van zoveel instellingen kon bemachtigen is nog niet bekend. Instructure moet uiterlijk vandaag (woensdag) losgeld betalen, anders dreigen de hackers de studentgegevens openbaar te maken. Dat deed de hackgroep begin dit jaar ook met de gegevens van Odido-klanten toen het telecombedrijf niet de gewenste één miljoen euro betaalde.
Wereldwijd in gebruik
Het Amerikaanse Instructure bestaat sinds 2008. Het learning management system Canvas is de belangrijkste activiteit van het bedrijf. Wereldwijd maken zo’n negenduizend onderwijsinstellingen er gebruik van. In 2024 werd Instructure voor 4,8 miljard dollar opgekocht door investeringsfonds KKR.
Kenmerkend aan Canvas is dat de software niet op de servers van universiteiten en hogescholen zelf draait, maar op servers van Amazon’s AWS. Instellingen krijgen een eigen login, maar verder beheert Instructure de software en de data.
In principe zijn de gegevens van de ene onderwijsinstelling streng gescheiden van andere instellingen, blijkt uit een privacy-APK die IT-coöperatie SURF vorig jaar uitvoerde. Maar dat heeft kennelijk niet kunnen voorkomen dat de hackers de gegevens van miljoenen gebruikers konden stelen.
Onderhandelen
Volgens BNR zou ShinyHunters nu ook onderwijsinstellingen oproepen om individueel met de hackers te onderhandelen over losgeld, zodat hun gegevens binnenskamers blijven. Dat zou erop kunnen wijzen dat Instructure geen losgeld wil betalen. BNR verwijst overigens naar 44 getroffen Nederlandse onderwijsinstellingen, maar dat aantal lijkt niet te kloppen. Enkele van de genoemde instellingen gebruiken geen Canvas.
De Universiteit Twente zegt in een bericht aan gebruikers dat het niet precies weet welke gegevens zijn gestolen. Net zoals in Maastricht zouden studenten en docenten Canvas wel weer veilig kunnen gebruiken, dankzij enkele beveiliginsupdates.
HOP, Olmo Linthorst/DB