A York University, em Toronto, confirmou que um agente malicioso invadiu seus sistemas e acessou informações pessoais enviadas por meio de formulários on-line.
O acesso não autorizado foi identificado em 25 de outubro e afetou formulários enviados entre 2007 e 2026 em 14 sites da universidade.
Com sede em Toronto, no Canadá, a York University é uma instituição de grande porte, com mais de 55.700 estudantes distribuídos em 200 cursos de graduação e pós-graduação, além de 7.000 funcionários administrativos.
“Recentemente, a York foi alvo de um incidente de cibersegurança no qual um agente não autorizado acessou um número limitado de formulários on-line usados por departamentos da universidade”, informou a instituição na sexta-feira.
“Embora a York tenha agido rapidamente para conter o incidente após sua descoberta, lamentamos confirmar o roubo de informações pessoais enviadas por meio de alguns formulários departamentais.”
A universidade detalhou os tipos de dados expostos. O invasor acessou informações como:
- Endereços de e-mail
- Números de telefone
- Datas de nascimento
- Números de identificação da York
- Informações de documentos de identidade emitidos pelo governo
- Informações de contato de terceiros
- Informações de saúde
- Histórico acadêmico
- Histórico profissional
- Situação financeira
- Antecedentes criminais
- Informações demográficas
- Fotos e outras imagens
Segundo a instituição, os dados expostos variam de pessoa para pessoa. A maioria dos registros roubados continha informações básicas de contato e números de identificação da York.
A exposição de dados de contato junto com outras informações sensíveis aumenta significativamente o risco de ataques de phishing e engenharia social contra as pessoas afetadas.
A universidade informou que os formulários dos sites já estão protegidos e podem ser usados com segurança. A York também disse que notificará diretamente as pessoas cujos documentos de identidade emitidos pelo governo ou dados de contas financeiras foram expostos. Elas receberão dois anos de monitoramento de crédito e proteção contra roubo de identidade.
Quem não receber uma notificação poderá entrar em contato diretamente com a universidade para saber quais tipos de dados foram expostos em seu caso.
Até o momento, a instituição não informou quantas pessoas foram afetadas pelo incidente de cibersegurança.
A universidade não divulgou detalhes sobre os responsáveis. Até a publicação da reportagem do BleepingComputer, o veículo não havia encontrado nenhum grupo de ransomware reivindicando o ataque.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...