L’Université York à Toronto, au Canada, a confirmé que des pirates ont volé des informations personnelles collectées via des formulaires en ligne utilisés par plusieurs départements universitaires. Certains des dossiers compromis remontent à près de vingt ans, affectant potentiellement d’anciens étudiants, employés et autres personnes ayant interagi avec l’institution.
L’université a découvert l’accès non autorisé le 25 octobre 2026 et a lancé une enquête avec des spécialistes externes de la cybersécurité. La violation concernait des formulaires hébergés sur 14 sites web universitaires, les soumissions concernées datant d’au moins 2007 jusqu’en octobre 2026.
Les formulaires compromis soutenaient diverses activités administratives et académiques, notamment les demandes de logement étudiant, les inscriptions aux événements, les enquêtes et les services départementaux. Les unités concernées comprennent le Département de psychologie, la Faculté des sciences, la Faculté des études supérieures, la Schulich School of Business et la Lassonde School of Engineering.
Selon l’Université York, la plupart des documents volés contenaient des informations relativement basiques, telles que des adresses e-mail, des numéros de téléphone, des adresses résidentielles et des numéros d’identification universitaire. Cependant, certains formulaires recueillaient des informations beaucoup plus sensibles.
Selon le département et les informations soumises, les dossiers exposés peuvent inclure des dates de naissance, des antécédents scolaires et professionnels, des circonstances financières, des informations de santé, des détails liés au handicap et des informations sur les antécédents criminels. Certains formulaires ont également collecté des photographies et des informations démographiques, notamment l’origine ethnique, la religion et l’orientation sexuelle.
L’université a souligné que toutes les personnes concernées n’avaient pas toutes ces catégories d’informations exposées. Les données spécifiques concernées dépendent des formulaires remplis par la personne et du moment où elle les a soumis.
Un groupe plus restreint de personnes a également vu des informations d’identité gouvernementales ou des comptes financiers compromises. York a déclaré qu’elle contacterait directement ces personnes et fournirait deux ans de surveillance de crédit TransUnion gratuite et de protection contre le vol d’identité.
L’enquête n’a trouvé aucune preuve que les attaquants aient accédé à des systèmes autres que les formulaires en ligne concernés. L’environnement informatique plus large de York, y compris ses principaux systèmes étudiants, ressources humaines et admissions, n’a pas été jugé compromis.
Suite à cette découverte, l’université a sécurisé les formulaires concernés et mis en place des mesures de sécurité supplémentaires. Les responsables ont indiqué que les sites web sont désormais sûrs à utiliser, bien que les enquêtes sur la cause de l’intrusion se poursuivent.
York a signalé l’incident aux forces de l’ordre et au Commissaire à l’information et à la vie privée de l’Ontario. L’université n’a pas divulgué comment les assaillants ont accédé, quand l’intrusion a commencé, ni combien de temps l’activité non autorisée a duré avant la découverte.
Le nombre total de personnes concernées reste également inconnu. Aucun acteur malveillant n’a été identifié publiquement comme responsable, et aucune affirmation confirmée de ransomware liée à l’incident n’a été confirmée.
York informe les personnes concernées et a publié des informations identifiant les départements et les délais de soumission concernés. Les personnes qui estiment que leurs informations ont été exposées peuvent contacter l’université pour demander des détails sur les catégories spécifiques de données concernées.