Er zijn aanwijzingen dat gegevens van gebruikers van het online leerplatform Canvas zijn buitgemaakt. Canvas wordt gebruikt door veel scholen, hogescholen en universiteiten, ook in België. De hackersgroep ShinyHunters beweert gegevens van een groot aantal gebruikers wereldwijd te hebben gestolen.
Het Centrum voor Cybersecurity België (CCB) volgt de situatie op en zal de betrokken Belgische scholen contacteren.
Wat is er gebeurd?
Het Amerikaanse bedrijf Instructure, de maker van Canvas, heeft op 1 mei 2026 een cybersecurityincident bevestigd. Volgens Instructure zijn mogelijk namen, e-mailadressen, studentennummers en berichten tussen gebruikers buitgemaakt. Het bedrijf meldt dat er op dit moment geen aanwijzingen zijn dat wachtwoorden, geboortedata, officiële identiteitsnummers of financiële gegevens betrokken zijn.
De hackersgroep ShinyHunters claimt verantwoordelijk te zijn en beweert dat het om gegevens van 275 miljoen gebruikers en duizenden onderwijsinstellingen wereldwijd gaat. De aantallen zijn claims van de hackers en zijn niet onafhankelijk bevestigd.
Wie is ShinyHunters?
ShinyHunters is een criminele hackersgroep die bekendstaat om gegevensdiefstal met afpersing. De groep steelt gegevens bij organisaties en dreigt die openbaar te maken of te verkopen als er niet wordt betaald.
In België kwam de naam ShinyHunters eerder in beeld bij het datalek bij de Nederlandse telecomprovider Odido. Daarbij waren volgens berichtgeving ook gegevens van Belgen betrokken.
Wat doet het CCB?
Het Centrum voor Cybersecurity België volgt de situatie op. Het CCB zal de Belgische onderwijsinstellingen die mogelijk getroffen zijn, contacteren. De instellingen blijven zelf het eerste aanspreekpunt voor hun studenten over de concrete impact op hun gegevens.
Waar moeten getroffen studenten op letten?
Wanneer je gegevens zoals je naam, e-mailadres, studentennummer of berichten zijn buitgemaakt, kunnen criminelen die informatie gebruiken om overtuigende phishingberichten te maken. Wees daarom extra alert voor berichten die zogezegd afkomstig zijn van je school, Canvas, een docent, studentenadministratie of een andere officiële dienst.
Let vooral op:
1. Berichten die dringend lijken
Wees voorzichtig met e-mails of sms’en waarin staat dat je onmiddellijk moet inloggen, je account moet “heractiveren” of snel een betaling moet doen.
2. Links naar valse inlogpagina’s
Klik niet zomaar op links in berichten. Ga zelf naar de officiële website of app van je school of Canvas.
3. Vragen naar je wachtwoord of codes
Een school, docent of helpdesk vraagt nooit om je wachtwoord of je tweestapsverificatiecode door te sturen.
4. Berichten die persoonlijke informatie gebruiken
Phishing kan geloofwaardiger lijken als criminelen je naam, school, opleiding of studentennummer kennen. Ook een bericht met correcte persoonlijke gegevens kan vals zijn.
5. Bijlagen of downloads
Open geen onverwachte bijlagen, zeker niet als het bericht druk zet of ongewoon aanvoelt.
Wat kan je nu doen?
- Volg de officiële communicatie van je school.
- Verander je wachtwoord als je school dat vraagt, of als je hetzelfde wachtwoord ook elders gebruikt.
- Gebruik een uniek wachtwoord voor Canvas en je schoolaccount.
- Schakel tweestapsverificatie in waar dat mogelijk is.
- Klik niet op verdachte links.
- Stuur verdachte berichten door naar verdacht@safeonweb.be en verwijder ze daarna.
Heb je toch je wachtwoord ingegeven op een verdachte website? Verander het onmiddellijk en verwittig de IT-dienst van je school.
