Studenten van de Universiteit van Amsterdam, de Vrije Universiteit, Tilburg University en de Universiteit Twente konden gisteravond plotseling niet meer bij hun studieomgeving. Canvas — het platform waarop ze werk inleveren, roosters bekijken en met docenten communiceren — ging offline.
De reden: een hack. En het is niet de eerste keer.
Wat is er precies gebeurd?
Onderwijsplatform Canvas wordt wereldwijd gebruikt door zevenduizend onderwijsinstellingen en meer dan tweehonderd miljoen gebruikers. De leverancier, het Amerikaanse bedrijf Instructure, werd al eerder getroffen door een datalek. ShinyHunters claimt daarbij de gegevens van 275 miljoen studenten en docenten in handen te hebben gekregen.
Instructure liet weten dat ze de systemen hadden beveiligd. Maar op donderdagavond 7 mei 2026 plaatsten de daders een nieuwe boodschap recht in de Canvas-omgeving van studenten — bewijs dat ze nog steeds toegang hadden.
Nederlandse universiteiten trokken daarop de stekker eruit.
Zeven Nederlandse universiteiten getroffen
Universiteiten van Nederland (UNL) bevestigde dat studenten en medewerkers van zeven Nederlandse universiteiten zijn getroffen door het datalek bij Instructure. Bevestigd getroffen zijn onder meer:
- Universiteit van Amsterdam (UvA)
- Vrije Universiteit Amsterdam (VU)
- Tilburg University
- Universiteit Twente
De hackers dreigen de gestolen data openbaar te maken tenzij er losgeld wordt betaald. De deadline voor Instructure is verlengd naar 12 mei.
Wat voor data is er gestolen?
Canvas bevat namen, e-mailadressen en inloggegevens van studenten en docenten. Afhankelijk van hoe instellingen het platform gebruiken, kan het ook gaan om ingediend studiewerk, communicatie tussen studenten en docenten, en roosters.
Of ook wachtwoorden zijn buitgemaakt, is nog niet bevestigd. Maar e-mailadressen plus naam zijn genoeg voor gerichte phishing en credential stuffing aanvallen.
Wat is credential stuffing en waarom is het gevaarlijk?
Credential stuffing is een aanvalstechniek waarbij gestolen inloggegevens automatisch worden uitgeprobeerd bij andere websites. Het werkt zo:
- Hackers hebben een lijst van e-mailadressen uit een datalek
- Ze draaien een geautomatiseerd script dat die adressen probeert bij Gmail, Instagram, je bank, webshops
- Waar het wachtwoord hetzelfde is, krijgen ze toegang
Als jij hetzelfde wachtwoord gebruikt voor je studieaccount én je e-mail, is dat een direct risico. Eén gelekt wachtwoord kan een domino-effect veroorzaken.
Wat moet je nu doen als student of medewerker?
1. Verander je Canvas-wachtwoord zodra het platform weer online is
Ga er van uit dat je inloggegevens zijn blootgesteld. Verander het wachtwoord voor je universiteitsaccount zodra je er weer bij kunt.
2. Gebruik dat wachtwoord nergens anders
Als je hetzelfde wachtwoord gebruikte op andere sites — e-mail, social media, webshops — verander die dan ook direct. Gebruik voor elk account een uniek wachtwoord.
3. Maak sterke wachtwoorden met een generator
Een sterk wachtwoord bedenk je niet zelf — je genereert het. Gebruik onze wachtwoord generator om direct een willekeurig, sterk wachtwoord aan te maken. Kies minimaal 16 tekens en gebruik een mix van letters, cijfers en symbolen.
4. Sla wachtwoorden op in een wachtwoordmanager
Je kunt tientallen unieke wachtwoorden niet onthouden, en dat hoef je ook niet. Een wachtwoordmanager slaat ze veilig op en vult ze automatisch in. Goede gratis opties:
- Bitwarden — open source, werkt op alle apparaten
- 1Password — betaald, maar erg gebruiksvriendelijk
- De ingebouwde wachtwoordmanager van Chrome of Safari werkt ook als startpunt
5. Zet tweefactorauthenticatie aan
Zelfs als iemand je wachtwoord heeft, helpt 2FA. Met tweefactorauthenticatie moet een aanvaller ook een code van je telefoon invoeren. Zonder die code kom je nergens.
Zet 2FA aan bij je e-mail, je bank en je social media — minimaal.
Hoe weet je of jouw gegevens al eerder zijn gelekt?
Ga naar haveibeenpwned.com en voer je e-mailadres in. De site vergelijkt jouw adres met honderden bekende datalekken en laat direct zien bij welke hacks je gegevens zijn opgedoken.
Staat je e-mailadres erin? Dan ben je al een keer getroffen — misschien zonder dat je het wist.
Dit is geen incident, dit is een patroon
De Canvas-hack is geen op zichzelf staand geval. Grote datalekken zijn de afgelopen jaren de norm geworden. Bedrijven en instellingen die miljoenen gebruikers beheren zijn aantrekkelijke doelwitten, en beveiliging schiet er regelmatig bij in.
Je kunt niet controleren of een bedrijf jouw gegevens goed beveiligt. Maar je kunt wel controleren hoeveel schade een lek aanricht — door unieke, sterke wachtwoorden te gebruiken en 2FA aan te zetten.
Begin vandaag. Gebruik onze gratis wachtwoord generator en neem de vijf stappen hierboven door. Het kost een uur, maar het kan je veel ellende besparen.