カナダ・トロントのヨーク大学は、攻撃者が同大学のシステムに侵入し、オンラインフォームを通じて送信された個人情報にアクセスしたことを確認しました。
不正アクセスは10月25日に発覚しました。被害を受けたのは、2007年から2026年にかけて同大学の14のウェブサイトで送信されたフォームです。
ヨーク大学はカナダ・トロントにある大規模大学で、200の学部・大学院プログラムに5万5,700人以上の学生が在籍しています。事務職員は7,000人にのぼります。
同大学は金曜日、声明で次のように述べました。「ヨーク大学は最近、学内の各部署が使用する一部のオンラインフォームに、不正な第三者がアクセスするサイバーセキュリティインシデントを受けました。発覚後は速やかに被害の封じ込めを行いましたが、一部の部署フォームから個人情報が盗まれたことを確認しており、遺憾に思います」
発表では、流出したデータがカテゴリ別に詳しく列挙されています。影響を受けたフォーム全体で、攻撃者は次の情報にアクセスしました。
- メールアドレス
- 電話番号
- 生年月日
- ヨーク大学の識別番号
- 政府発行の身分証明書の情報
- 第三者の連絡先情報
- 健康情報
- 学歴
- 職歴
- 経済状況
- 犯罪歴
- 人口統計情報
- 写真などの画像
流出したデータの種類は個人によって異なります。大学によると、盗まれた記録の大半には、基本的な連絡先情報とヨーク大学の識別番号が含まれていました。
連絡先情報が他の機微な情報とともに漏えいすると、被害者がフィッシングやソーシャルエンジニアリング攻撃を受けるリスクは大幅に高まります。
発表によると、ウェブサイトのフォームはすでに保護され、安全に使用できる状態です。ヨーク大学は、政府発行の身分証明書や金融口座の情報が流出した人に直接通知するとしています。あわせて、2年間のクレジットモニタリングと個人情報盗用対策サービスを提供します。
通知を受け取っていない人も、大学に直接問い合わせれば、自分のケースでどの種類のデータが流出したかを確認できます。
現時点で、同大学は今回のインシデントの影響を受けた人数を明らかにしていません。
攻撃者に関する詳細も公表されていません。BleepingComputerが確認した限りでは、本稿執筆時点で犯行声明を出したランサムウェアグループは見つかっていません。
