Para: personas que completaron formularios en línea (inscripciones a reuniones, solicitudes de residencia, encuestas y otros) en alguno de los 14 sitios web de facultades y departamentos de la Universidad de York (Canadá) desde un año de inicio entre 2007 y 2022 hasta octubre de 2026. Este artículo es una explicación basada en el aviso oficial de la universidad y no aborda pasos de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
personas que completaron formularios en línea (inscripciones a reuniones, solicitudes de residencia, encuestas y otros) en alguno de los 14 sitios web de facultades y departamentos de la Universidad de York (Canadá) desde un año de inicio entre 2007 y 2022 hasta octubre de 2026.
- Confirmado hasta ahoraVer la tabla ↓
- Envíos a formularios en línea de 14 sitios
- Número de identificación de York, datos de contacto, historial académico y laboral
- Fecha de nacimiento, sexo, ciudadanía, raza y etnia, religión, orientación sexual, imágenes
2 más
- Información de salud, discapacidad, situación financiera, antecedentes legales o penales, estado de vacunación
- Documentos de identidad oficiales y datos de cuentas financieras
- Aún sin confirmar
- El número de personas afectadas (no indicado)
- La causa (la universidad dice que su investigación continúa)
- La fecha del aviso (no figura en la página)
1 más
- El resultado de la revisión del IPC (la universidad espera que se abra un expediente)
- Qué hacer ahoraVer los pasos ↓
- Compruebe los 14 sitios y años para saber si está dentro del alcance
- Pregunte a la universidad qué información suya se tomó
- Si recibe una oferta de supervisión de crédito, inscríbase siguiendo sus instrucciones
3 más
- Desconfíe de mensajes que parezcan conocer los datos de sus formularios
- Revise sus cuentas financieras, contraseñas y autenticación multifactor
- Si puede estar implicada información sensible, conozca las formas que puede tomar el uso indebido
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Universidad de York, «Cybersecurity Incident» (página oficial; consultada el 12 de noviembre de 2026)
- Última comprobación
- A 12 de noviembre de 2026
Próximos avisos y qué comprobamos
La universidad dice que publicará más información en su página según corresponda. Al comprobarlo el 12 de noviembre de 2026, la página no mostraba actualizaciones con fecha.
Qué deben hacer hoy las personas que puedan estar afectadas
Compruebe los 14 sitios y años para saber si está dentro del alcance
La universidad dice que están afectadas las personas que completaron formularios en línea en los sitios de la tabla siguiente, desde el año indicado hasta octubre de 2026, y que su aviso sirve como notificación. Si recuerda haberse inscrito en una reunión, haber solicitado residencia, haber respondido una encuesta o haber usado otro formulario en un sitio de una facultad o departamento, puede estar dentro del alcance.
Pregunte a la universidad qué información suya se tomó
El contacto es incident@yorku.ca (página oficial). La universidad primero verificará su identidad y luego revisará la información afectada. Las respuestas pueden tardar algo por el número de personas implicadas.
Si recibe una oferta de supervisión de crédito, inscríbase siguiendo sus instrucciones
Las personas cuyos documentos de identidad oficiales o datos de cuentas financieras quedaron expuestos reciben dos años de supervisión de crédito y protección contra el robo de identidad gratuitas, con la oferta enviada por correo electrónico. La universidad anima a las personas elegibles a inscribirse, y las instrucciones están en ese mensaje. Si no está seguro de que el mensaje sea auténtico, compruébelo con el contacto de la página oficial antes de abrir cualquier enlace (opinión nuestra).
Desconfíe de mensajes que parezcan conocer los datos de sus formularios
La universidad pide estar atento a correos, mensajes de texto y llamadas sospechosos, sobre todo los que piden información personal o dirigen a sitios web desconocidos. Dice que nunca pedirá contraseñas, números de seguro social, datos bancarios ni números completos de tarjeta de crédito. Véase Qué es el phishing.
Revise sus cuentas financieras, contraseñas y autenticación multifactor
La universidad recomienda vigilar las cuentas financieras por si hay actividad inusual, usar contraseñas fuertes y únicas y activar la autenticación multifactor donde esté disponible. Si nota algo sospechoso, contacte sin demora con su entidad financiera o proveedor de servicios; el fraude sospechado también puede notificarse al Canadian Anti-Fraud Centre y a la universidad (página oficial).
Si puede estar implicada información sensible, conozca las formas que puede tomar el uso indebido
La información como salud, discapacidad, orientación sexual y antecedentes legales o penales no puede cambiarse como una contraseña. Son posibles amenazas o mensajes de alguien que finja conocer esos datos (lo que puede ocurrir en general). No responda, y consulte con el contacto de la universidad y con la policía.
Qué ocurrió (según el aviso de la Universidad de York)
Esta sección se basa en la página oficial de la universidad «Cybersecurity Incident». Es el relato de la propia universidad y no ha sido verificado por un tercero. La página no muestra la fecha de publicación.
25 de octubre de 2026
El incidente llegó a conocimiento de la universidad. Actuó con rapidez para contenerlo e inició una investigación con la ayuda de expertos externos.Investigación
No se han hallado pruebas de que el actor no autorizado fuera más allá de los sistemas afectados ni accediera a otras partes del entorno informático de la universidad.Informes
La universidad informó de la brecha de privacidad a la Comisionada de Información y Privacidad de Ontario (IPC) y avisó a las fuerzas del orden. Espera que el IPC abra un expediente.Aviso
La universidad empieza a notificar a las personas afectadas. Su página enumera los sitios web y los tipos de información implicados (la fecha no figura).
- Qué ocurrió
- Un actor no autorizado accedió a formularios en línea limitados que usan los departamentos de la universidad y se llevó la información personal enviada a través de ellos
- Quiénes están afectados
- Personas que completaron formularios en línea en los sitios indicados desde el año que figura hasta octubre de 2026. Los formularios se usaron para inscripciones a reuniones, solicitudes de residencia, encuestas y más. No todos los tipos de datos se aplican a todas las personas, y la mayor parte de la información robada era básica, como números de identificación de York y datos de contacto
- Número de personas
- No indicado
- Personas adicionales notificadas directamente
- Un pequeño número de personas será notificado directamente. Quienes tuvieron expuestos su documento de identidad oficial o sus datos de cuentas financieras reciben dos años de supervisión de crédito y protección contra el robo de identidad gratuitas (aviso por correo electrónico)
- Causa
- La investigación continúa. Se han hecho mejoras de seguridad de respuesta en los formularios web, a la espera de nuevas consideraciones
- Informes
- Informado al IPC de Ontario y a las fuerzas del orden
- Contacto
- incident@yorku.ca (primero se verifica la identidad y luego se revisa la información afectada)
Los 14 sitios y un resumen de la información robada
El año es el inicio del período de ese sitio; todos los períodos llegan hasta octubre de 2026. La tabla recoge solo los principales elementos sensibles de la lista oficial, según lo ha recopilado este sitio. La lista completa de elementos está en la página oficial, y dentro de un sitio no todos los elementos se aplican a todas las personas.
| Sitio | Desde | Información de salud | Situación financiera | Antecedentes legales o penales | Orientación sexual |
|---|---|---|---|---|---|
| Centre for Refugee Studies | 2019 | No incluido | Incluido | Incluido | No incluido |
| Department of Psychology | 2016 | Incluido | No incluido | No incluido | Incluido |
| Division of Students | 2019 | Incluido | Incluido | Incluido | Incluido |
| Faculty of Environmental and Urban Change | 2007 | Incluido | Incluido | Incluido | No incluido |
| Faculty of Graduate Studies | 2013 | Incluido | Incluido | Incluido | Incluido |
| Faculty of Liberal Arts and Professional Studies | 2013 | Incluido | Incluido | Incluido | Incluido |
| Faculty of Science | 2014 | Incluido | Incluido | No incluido | Incluido |
| Glendon Housing | 2017 | Incluido | No incluido | No incluido | No incluido |
| Housing and Conference Services | 2015 | No incluido | No incluido | No incluido | No incluido |
| Lassonde School of Engineering | 2020 | Incluido | No incluido | No incluido | Incluido |
| Research and Innovation | 2018 | No incluido | Incluido | No incluido | Incluido |
| Schulich School of Business | 2016 | Incluido | Incluido | Incluido | No incluido |
| University Secretariat | 2015 | No incluido | No incluido | No incluido | No incluido |
| Vice-Provost Academic | 2022 | No incluido | No incluido | No incluido | No incluido |
«Incluido» significa que el elemento figura en la lista de información robada de ese sitio. Todos los sitios enumeran número de identificación de York, correo electrónico, teléfono, dirección postal, historial académico, historial laboral y contacto de familiares o terceros. La universidad explica que la «información de salud» puede incluir información clínica como diagnóstico y tratamiento, que la «situación financiera» puede incluir ingresos y deudas, y que los «antecedentes legales o penales» pueden indicar simplemente que alguien no tiene antecedentes ni sanciones.
Qué se sabe y qué no
La situación a 12 de noviembre de 2026. Actualizaremos la columna de estado cuando se publique más.
| Elemento | Contenido | Estado |
|---|---|---|
| Envíos a formularios en línea de 14 sitios | Robados | Confirmado (la universidad) |
| Número de identificación de York, datos de contacto, historial académico y laboral | La mayor parte de la información robada | Confirmado (la universidad) |
| Fecha de nacimiento, sexo, ciudadanía, raza y etnia, religión, orientación sexual, imágenes | Incluidos según el sitio | Confirmado (la universidad) |
| Información de salud, discapacidad, situación financiera, antecedentes legales o penales, estado de vacunación | Incluidos según el sitio | Confirmado (la universidad) |
| Documentos de identidad oficiales y datos de cuentas financieras | Expuestos para un pequeño número de personas, que son notificadas directamente | Confirmado (la universidad) |
| Extensión a otros sistemas informáticos | No se hallaron pruebas | No confirmado (la universidad) |
| Número de personas afectadas | No indicado | No indicado |
| Causa | La investigación continúa | En investigación |
| Fecha del aviso | No figura en la página | No indicado |
| Revisión del IPC | Se espera que se abra un expediente | En investigación |
Cómo leer esto: las tablas de los sitios enumeran elementos posibles, no necesariamente los suyos
La lista oficial muestra la información robada de cada grupo, no un desglose para ninguna persona concreta. Para saber qué se tomó sobre usted, debe preguntar a la universidad. La conclusión de que no hay pruebas de extensión a otros sistemas informáticos procede de la propia investigación de la universidad, y no se ha publicado ninguna verificación de terceros.
Qué puede ocurrir cuando se roban envíos de formularios
Lo siguiente es lo que puede ocurrir en general, no una declaración de que algo de ello haya ocurrido aquí. Lo que la universidad dice que ha ocurrido se limita a «Qué ocurrió», más arriba.
Un número de identificación de York, datos de contacto, una dirección y el historial académico o laboral permiten elaborar mensajes convincentes que parecen proceder de la universidad. Añadir una fecha de nacimiento o un contacto familiar puede hacer que parezca real un mensaje que finge verificar su identidad. La información sensible como salud, discapacidad, orientación sexual y antecedentes legales o penales no puede cambiarse y puede usarse para amenazas o acoso. Cuando están implicados documentos de identidad oficiales o datos de cuentas financieras, preocupa el uso indebido como abrir cuentas o solicitar crédito. La universidad dice que la mayor parte de la información robada no es del tipo asociado a un riesgo elevado de fraude de identidad.
Qué deben revisar las universidades y otros operadores
Esta sección no evalúa la respuesta de la universidad ni especula sobre detalles técnicos. La causa no se ha publicado, así que se limita a lo que se desprende de los hechos divulgados, como opinión nuestra.
No conserve mucho tiempo los envíos antiguos
El año de inicio más antiguo es 2007, así que están dentro del alcance envíos de hasta unos veinte años (opinión nuestra). Fije un plazo de conservación para cada formulario y elimine los envíos cuando termine su finalidad, o conserve solo agregados.
No recoja campos sensibles que no necesite
Los formularios servían para muchos fines, como inscripciones a reuniones y solicitudes de residencia, y algunos sitios recogían elementos de salud, financieros, legales o penales y de orientación sexual. Revise en cada formulario si eso es realmente necesario para su finalidad, y elimine los campos que no lo sean. Los datos que no se recogen no pueden robarse (opinión nuestra).
Haga un inventario de los formularios de los departamentos
El alcance aquí estaba repartido en 14 sitios de facultades y departamentos. Los formularios gestionados de forma distribuida dificultan ver quiénes son los responsables y dónde se almacenan. Registre qué departamento gestiona qué formulario y dónde se almacena (opinión nuestra).
Separe el lugar donde se almacenan los formularios de otros entornos
La universidad dice que no halló pruebas de extensión a otros sistemas informáticos. Mantenga el almacenamiento de formularios separado de los sistemas de estudiantes y personal en cuanto a autenticación y red, para que una brecha no se extienda (opinión nuestra).
Esté en condiciones de decir a cada persona qué se tomó sobre ella
La universidad dice que, tras verificar la identidad, informará a las personas de qué información se vio afectada. Con muchas personas implicadas, las respuestas tardan, por lo que almacenar los envíos de forma que puedan consultarse por persona mejora la notificación (opinión nuestra).
Fuentes (registros públicos)
Los datos de este artículo proceden de la información pública siguiente. No se tratan los detalles de los pasos del ataque.
- Universidad de York, «Cybersecurity Incident» (página oficial; consultada el 12 de noviembre de 2026) — yorku.ca
Historial de actualizaciones
2026-11-12: Primera versión. Basada en la página oficial de la Universidad de York. La fecha del aviso y el número de personas afectadas no figuran en la página. Actualizaremos cuando se publique más.
Lectura recomendada
- Una brecha en la educación: La filtración de datos de estudiantes de ETS (pruebas estatales de California)
- Reconocer mensajes falsos: Qué es el phishing
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026