Die Princeton University untersucht eine Datenpanne, die ein System betraf, das von ihrem Advancement-Büro genutzt wird. Die Universität teilte mit, dass ein Angreifer am 10. November Zugang zur Datenbank erhielt, nachdem ein erfolgreicher Phishing-Versuch gegen einen Mitarbeiter ins Visier genommen worden war. Der Eindringling hatte weniger als einen Tag lang Zugriff aufrecht, bevor das Konto gesichert wurde. Princeton erklärte, dass keine anderen Universitätssysteme kompromittiert wurden und der Vorstoß auf Informationen beschränkt war, die in der Advancement-Umgebung gespeichert wurden.
Laut der Universität umfassen die offengelegten Daten Namen, E-Mail-Adressen, Telefonnummern sowie Wohn- und Geschäftsadressen. Die Datenbank enthält Informationen zu Alumni-Beziehungen, Fundraising und Aktivitäten zur Gemeinschaftsbeteiligung. Princeton sagte, das System speichere keine Sozialversicherungsnummern, Passwörter oder Finanzkontoinformationen. Die Überprüfung ist laufend und zielt darauf ab, zu identifizieren, welche Felder betreten wurden und welche Personen betroffen waren.
Die Gruppe der betroffenen Personen ist breit, da das Entwicklungssystem jahrzehntelange Unterlagen speichert. Es umfasst Alumni, Personen, die besucht haben, aber nicht ihren Abschluss gemacht haben, Spender, aktuelle und ehemalige Dozenten und Mitarbeitende, Eltern von Studierenden sowie Ehepartner oder Partner von Alumni. Princeton erklärte, der Verstoß betreffe auch Mitglieder der breiteren Gemeinschaft, die an Veranstaltungen teilgenommen oder über Advancement-Programme Kontakt zur Universität gehalten haben. Benachrichtigungsbriefe wurden an Personen verschickt, deren Informationen möglicherweise offengelegt wurden.
Obwohl die kompromittierten Daten keine hochsensiblen Kategorien enthalten, weisen Analysten darauf hin, dass die Informationen weiterhin für Phishing- oder Imitationsversuche verwendet werden können. Kontaktdaten, die mit einer bekannten Institution verknüpft sind, können Angreifern helfen, überzeugende Nachrichten zu verfassen, die seriös erscheinen. Sicherheitsexperten sagen, dass Informationen über die Beziehung einer Person zu einer Organisation auch genutzt werden können, um sie mit betrügerischen Anfragen ins Visier zu nehmen oder zusätzliche persönliche Daten zu sammeln.
Der Vorfall verdeutlicht die Rolle von Aufstiegs- und Engagementsystemen im Universitätssektor. Diese Systeme enthalten oft umfangreiche persönliche Informationen, da sie langfristige Beziehungen zu Alumni, Spendern und Gemeindemitgliedern nachverfolgen. Sie erhalten möglicherweise nicht immer das gleiche Maß an Sicherheitsinvestitionen wie Finanz- oder akademische Systeme, enthalten jedoch Daten, die für Bedrohungsakteure wertvoll sein können. Analysten empfehlen, dass Institutionen Zugangsrichtlinien, Multi-Faktor-Authentifizierung und Überwachungspraktiken für Systeme außerhalb der zentralen Verwaltungsplattformen überprüfen.
Princeton teilte mit, dass es während der laufenden Untersuchung mit externen Cybersicherheitsexperten und Strafverfolgungsbehörden zusammenarbeitet. Die Universität hat betroffene Personen dazu ermutigt, bei unerwünschten Kommunikationen, die auf ihre Verbindung zu Princeton verweisen oder persönliche Informationen anfordern, vorsichtig zu sein. Es wurde außerdem empfohlen, die Legitimität unerwarteter E-Mails zu überprüfen, bevor man auf Links klickt oder Details angibt.