York University: rubati dati dai moduli online

Cosa ha detto York

York ha scritto di essere stata «recentemente» vittima di un incidente informatico con un aggressore non autorizzato, e di «confermare con rammarico il furto di dati personali da alcuni moduli dei dipartimenti» (traduzione nostra). L'accesso è stato scoperto il 25 ottobre.

I moduli coinvolti sono quelli compilati su 14 siti dell'università (facoltà, dipartimenti e servizi come Schulich School of Business, Lassonde School of Engineering, Faculty of Science, Glendon Housing e University Secretariat), fino a ottobre 2026. La data di partenza cambia da sito a sito: 13 siti vanno dal 2013 al 2022, solo la Faculty of Environmental and Urban Change arriva al 2007. L'elenco completo è sulla pagina ufficiale di York, indicata nelle fonti.

York dice di aver migliorato la sicurezza dei moduli, di aver segnalato la violazione al Garante privacy dell'Ontario (Information and Privacy Commissioner) e alla polizia, e di indagare con l'aiuto di esperti esterni. Secondo l'indagine, l'aggressore non risulta essere andato oltre i sistemi colpiti.

Quali dati sono coinvolti

Secondo l'elenco di York riportato da BleepingComputer, i dati variano da persona a persona e possono includere: email, telefono, data di nascita, numero ID York, documenti d'identità, contatti di terzi, dati sanitari, carriera accademica e lavorativa, situazione finanziaria, precedenti penali, dati demografici, foto. Non tutte le categorie riguardano ogni persona.

York dice che la maggior parte delle informazioni rubate è di base, come numero ID York e contatti. Solo un piccolo numero di persone riceverà un'email: chi ha esposto un documento d'identità o i dati di un conto bancario o finanziario. Per loro ci sono due anni di monitoraggio del credito (con TransUnion) e di protezione dal furto d'identità. Attenzione: la «situazione finanziaria», per esempio un reddito dichiarato in un modulo, è una categoria diversa e non dà diritto all'avviso.

La pagina pubblica di York vale come avviso per chi ha compilato i moduli di quei 14 siti nei periodi indicati. Se è il tuo caso, considerati coinvolto anche senza email. Per sapere quali tuoi dati sono stati presi si scrive a incident@yorku.ca: York chiede di verificare l'identità.

Cosa non si sa ancora

Non è stato detto quante persone siano coinvolte, chi sia l'aggressore e con quale scopo, né come sia entrato. Non si sa nemmeno se i dati siano stati pubblicati o venduti: York dice che l'indagine prosegue. BleepingComputer non ha trovato rivendicazioni da gruppi ransomware.

Cosa puoi fare tu

Se hai compilato un modulo su uno dei 14 siti nel periodo indicato da York, considerati coinvolto: l'università scriverà solo a un piccolo numero di persone, quindi non aspettare l'email. Guarda l'elenco sulla pagina ufficiale e, per sapere quali tuoi dati sono stati presi, scrivi a incident@yorku.ca. Controlla anche i movimenti dei tuoi conti, se hai dato dati bancari in un modulo. Contatti e date di nascita messi insieme rendono più credibili email e SMS truffa (phishing): diffida di messaggi che dicono di arrivare da York o da banche e chiedono dati o pagamenti.

Cambia le password che riutilizzi in più servizi e attiva la verifica in due passaggi. Come riconoscere i messaggi falsi lo trovi nella guida su come riconoscere un'email di phishing.