Het is op dit moment nog onbekend hoeveel Nederlandse studenten slachtoffer zijn geworden van de hack bij onderwijsplatform Canvas en welke gegevens van hen zijn gestolen. Dat stelt minister Letschert van Onderwijs in een reactie op Kamervragen. De criminele groep ShinyHunters, die eerder bij Odido de gegevens van meer dan zes miljoen mensen wist te stelen, claimde een aantal weten geleden dat het de gegevens van 275 miljoen Canvas-gebruikers in handen had.

Canvas is een web-gebaseerd Learning Management System (LMS) waarmee onderwijsinstellingen lesmateriaal aan studenten kunnen aanbieden. Studenten kunnen via Canvas werk indienen, berichten uitwisselen en samenwerken. Canvas-leverancier Instructure claimt dat wereldwijd zevenduizend onderwijsinstellingen gebruik van Canvas maken en het wereldwijd meer dan tweehonderd miljoen gebruikers heeft. Ook Nederlandse universiteiten en andere onderwijsinstellingen maken er gebruik van.

De criminelen dreigden de gestolen data op internet te publiceren tenzij er losgeld zou worden betaald. Vervolgens liet Instructure weten dat het een deal met de criminelen had gesloten om publicatie van de gestolen data te voorkomen. Het bedrijf stelde dat het 'shred logs' van de groep had ontvangen waaruit bleek dat de gegevens waren vernietigd. Iets wat beveiligingsexperts betwijfelen.

Het datalek zorgde voor Kamervragen van D66. De partij wilde onder andere weten hoeveel Nederlandse studenten zijn getroffen. "De MBO-raad, UNL en VH hebben mij laten weten dat op dit moment alleen bekend is welke instellingen getroffen zijn. Zij geven aan dat Instructure, de leverancier van Canvas, nog niet heeft aangegeven welke gegevens precies zijn buitgemaakt", aldus de minister. Letschert voegt toe dat onderwijsinstellingen in contact met Instructure staan om hier meer duidelijkheid over te krijgen. "Dit betekent dat er op dit moment nog geen goede schatting kan worden gemaakt door de instellingen van hoeveel studenten, docenten en onderwijsmedewerkers naar schatting zijn getroffen."

De Onderwijsminister laat verder weten dat Nederlandse universiteiten en andere onderwijsinstellingen hebben aangegeven dat ze niet door ShinyHunters zijn benaderd. "Instructure heeft gemeld een akkoord te hebben gesloten met de hackers en dat de buitgemaakte gegevens zouden zijn vernietigd. Instructure zegt hiervan bewijs te hebben ontvangen. Of er losgeld is betaald door Instructure is mij en de instellingen niet bekend. Het is aan ieder bedrijf om een eigen afweging te maken. Het dringende advies vanuit de overheid is om geen losgeld te betalen."