L’Università di Oxford ha rivelato una violazione dei dati che ha colpito gli utenti della sua piattaforma CareerConnect per le carriere dopo che gli attaccanti hanno ottenuto accesso non autorizzato a informazioni conservate da un fornitore di servizi terzo.
L’incidente non riguardava i sistemi stessi di Oxford. Invece, la violazione ha colpito CareerConnect, una piattaforma utilizzata da studenti, ex studenti, ricercatori e datori di lavoro, gestita dal fornitore di tecnologia per le carriere GTI.
Secondo il Careers Service di Oxford, gli aggressori sono riusciti ad accedere ai nomi di battesimo, cognomi e indirizzi email degli utenti. Per alcuni utenti, venivano esposte anche le password criptate. Le password interessate appartenevano agli utenti che accedono direttamente tramite CareerConnect anziché tramite il sistema Single Sign-On di Oxford.
Oxford ha detto che gli studenti che utilizzano il Single Sign-On non sono stati interessati dall’esposizione della password, anche se i loro nomi e indirizzi email potrebbero essere stati consultati. Alumni, personale di ricerca e utenti dei datori di lavoro che si affidano alle password di CareerConnect sono stati obbligati a reimpostare le proprie credenziali.
L’università non ha comunicato quanti utenti siano stati coinvolti.
GTI ha informato Oxford dell’incidente il 28 maggio e ha dichiarato che una vulnerabilità nella piattaforma era stata sfruttata da una parte non autorizzata. Secondo l’università, l’azienda ha poi risolto il problema e implementato ulteriori misure di sicurezza.
Oxford ha dichiarato che non ci sono prove che informazioni sul corso, file caricati, registri di appuntamenti o informazioni finanziarie siano state compromesse nella violazione. L’università ha inoltre dichiarato che non vi sono indicazioni che i sistemi interni di Oxford siano stati accessibili.
Secondo GTI, la violazione sembrava focalizzata sulla raccolta di credenziali che in seguito potrebbero essere utilizzate in campagne di phishing. Di conseguenza, Oxford avverte gli utenti di stare attenti a email e messaggi imprevisti che sembrano provenire dall’università, da GTI o da CareerConnect.
L’università ha consigliato agli utenti di verificare autonomamente le richieste di informazioni personali o finanziarie e ha ricordato loro che Oxford non chiederà mai password tramite email o piattaforme di messaggistica.
Oxford ha dichiarato che la piattaforma CareerConnect è stata messa in sicurezza e rimane sicura da utilizzare. L’università ha aggiunto che gli utenti interessati saranno contattati direttamente se saranno necessarie ulteriori azioni.