対象：ヨーク大学（カナダ）の学部・部局の14サイトで、2007〜2022年の開始年から2026年10月までにオンラインフォーム（会議の登録、寮の申込み、調査など）を入力した人。本記事はヨーク大学の公式ページにもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
ヨーク大学（カナダ）の学部・部局の14サイトで、2007〜2022年の開始年から2026年10月までにオンラインフォーム（会議の登録、寮の申込み、調査など）を入力した人。
- 影響が確認された範囲表で見る ↓
- 14サイトのオンラインフォームの提出内容
- York IDの番号・連絡先・学歴・職歴
- 生年月日・性別・市民権・人種・民族・宗教・性的指向・画像
さらに2件
- 健康情報・障害・経済状況・法的・犯罪歴・予防接種の状況
- 政府発行の身分証・金融口座の情報
- 未確認事項
- 影響を受けた人数（公式に記載なし）
- 原因（同大学は調査を続けている）
- 公表の日付（ページに記載なし）
さらに1件
- IPCの調査の結果（同大学は調査が始まる見込みとしている）
- 今やること手順を見る ↓
- 14のサイトと年を確かめ、自分が対象かを判断する
- 自分のどの情報が盗まれたかを、窓口に問い合わせる
- 信用情報の監視の案内が来たら、案内の手順で登録する
さらに3件
- フォームの内容を知っている体裁の連絡に注意する
- 金融口座を見直し、パスワードと多要素認証を整える
- 機微な情報が含まれたかもしれない人は、悪用の形を知っておく
- 最終確認日時
- 2026年11月12日時点
発表の続報予定と確認の記録
同大学は、必要に応じて追加の情報を公式ページに載せるとしています。2026年11月12日に確認した範囲では、このページに日付つきの更新は書かれていませんでした。
対象かもしれない人が今日やること
14のサイトと年を確かめ、自分が対象かを判断する
同大学は、下の表のサイトで、表の年から2026年10月までにオンラインフォームを入力した人が対象で、このページの公表が通知にあたるとしています。学部・部局のサイトで、会議の登録、寮の申込み、調査、各種の申込みをした記憶があれば、対象の可能性があります。
自分のどの情報が盗まれたかを、窓口に問い合わせる
窓口は incident@yorku.ca です（公式ページ）。同大学はまず本人確認をし、そのうえで影響を受けた情報を確かめるとしています。件数が多いため、返事には時間がかかることがあります。
信用情報の監視の案内が来たら、案内の手順で登録する
政府発行の身分証または金融口座の情報が露出した人には、2年間の信用情報の監視と身分情報の盗用の保護サービスが無償で提供され、案内はメールで届きます。同大学は、対象の人に登録を勧めています。登録の方法はその案内に書かれています。案内が本物か不安なら、リンクを開く前に、公式ページに載る窓口で確かめてください（当サイトの見解）。
フォームの内容を知っている体裁の連絡に注意する
同大学は、不審なメール、テキスト、電話、とくに個人情報を求めたり見慣れないサイトに誘導したりする連絡に注意するよう求めています。同大学は、パスワード、社会保障番号、銀行情報、クレジットカードの全番号を求めることはないとしています。詳しくは フィッシングとは にあります。
金融口座を見直し、パスワードと多要素認証を整える
同大学は、金融口座の不審な動きの確認、強い固有のパスワード、使える場所での多要素認証を勧めています。不審な動きがあれば、金融機関やサービス事業者に速やかに連絡し、不正が疑われるときはカナダ反詐欺センターと同大学にも届けられます（公式ページ）。
機微な情報が含まれたかもしれない人は、悪用の形を知っておく
健康、障害、性的指向、法的・犯罪歴などの情報は、パスワードのように変えられません。これらを知っているふりをする、脅しや本人を装った連絡があり得ます（一般に言えること）。応じず、窓口と警察に相談してください。
何が起きたのか（ヨーク大学の発表より）
以下は、ヨーク大学の公式ページ「Cybersecurity Incident」にもとづきます。同大学自身の説明であり、第三者による検証を受けたものではありません。公表の日付はページに書かれていません。
2026年10月25日
この件が大学の知るところとなった。同大学は直ちに封じ込め、外部の専門家の支援で調査を始めた。調査
権限のない者が、影響を受けたシステムの外へ動いた、または大学のIT環境のほかの部分に入った証拠は見つかっていない。届出
オンタリオ州の情報・プライバシー・コミッショナー（IPC）にプライバシー侵害を届け出て、法執行機関に通報した。IPCは調査を始める見込みだと同大学は書いている。公表
大学が対象の人に知らせ始めた。公式ページに、対象のサイトと情報の種類が載っている（公表の日付は記載なし）。
- 起きたこと
- 権限のない者が、大学の部局が使う限られたオンラインフォームにアクセスし、そこに提出された個人情報を盗んだ
- 対象の人
- 表のサイトで、表の年から2026年10月までにオンラインフォームを入力した人。フォームの用途は、会議の登録、寮の申込み、調査など。全項目が全員に当てはまるわけではなく、盗まれた情報の大半は、York IDの番号や連絡先などの基本的な情報
- 件数
- 書かれていない
- 追加で個別に知らせる人
- 少数の人に、大学が直接知らせる。このうち、政府発行の身分証または金融口座の情報が露出した人には、2年間の信用情報の監視と身分情報の盗用の保護サービスを無償で提供（案内はメール）
- 原因
- 調査を続けている。ウェブフォームについて、対応としての安全対策を入れ、さらに検討する
- 届出
- オンタリオ州IPCに届出済み、法執行機関に通報済み
- 窓口
- incident@yorku.ca （本人確認のうえ、影響を受けた情報を案内）
対象の14サイトと、盗まれた情報の概要
年は、そのサイトで対象となる期間の開始年です（終わりはいずれも2026年10月）。表は、公式の一覧から、主な機微な項目だけを当サイトが抜いたものです。すべての項目は公式ページにあり、同じサイトの中でも、全項目が全員に当てはまるわけではありません。
| サイト | 開始年 | 健康情報 | 経済状況 | 法的・犯罪歴 | 性的指向 |
|---|---|---|---|---|---|
| Centre for Refugee Studies | 2019 | 記載なし | あり | あり | 記載なし |
| Department of Psychology | 2016 | あり | 記載なし | 記載なし | あり |
| Division of Students | 2019 | あり | あり | あり | あり |
| Faculty of Environmental and Urban Change | 2007 | あり | あり | あり | 記載なし |
| Faculty of Graduate Studies | 2013 | あり | あり | あり | あり |
| Faculty of Liberal Arts and Professional Studies | 2013 | あり | あり | あり | あり |
| Faculty of Science | 2014 | あり | あり | 記載なし | あり |
| Glendon Housing | 2017 | あり | 記載なし | 記載なし | 記載なし |
| Housing and Conference Services | 2015 | 記載なし | 記載なし | 記載なし | 記載なし |
| Lassonde School of Engineering | 2020 | あり | 記載なし | 記載なし | あり |
| Research and Innovation | 2018 | 記載なし | あり | 記載なし | あり |
| Schulich School of Business | 2016 | あり | あり | あり | 記載なし |
| University Secretariat | 2015 | 記載なし | 記載なし | 記載なし | 記載なし |
| Vice-Provost Academic | 2022 | 記載なし | 記載なし | 記載なし | 記載なし |
「あり」は、そのサイトの盗まれた情報の一覧にその項目があるという意味です。全サイトに共通して、York IDの番号、メールアドレス、電話番号、住所、学歴、職歴、家族・第三者の連絡先が挙がっています。「健康情報」には診断や治療などの臨床的な情報が、「経済状況」には収入や負債が含まれうるとされ、「法的・犯罪歴」は、犯罪歴や処分が「ない」ことを示すだけの場合もある、と同大学は説明しています。
分かっていること・分かっていないこと
2026年11月12日時点の状態です。続報が出たら、この表の状態欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 14サイトのオンラインフォームの提出内容 | 盗まれた | 確認済み（同大学） |
| York IDの番号・連絡先・学歴・職歴 | 盗まれた情報の大半 | 確認済み（同大学） |
| 生年月日・性別・市民権・人種・民族・宗教・性的指向・画像 | サイトにより含まれる | 確認済み（同大学） |
| 健康情報・障害・経済状況・法的・犯罪歴・予防接種の状況 | サイトにより含まれる | 確認済み（同大学） |
| 政府発行の身分証・金融口座の情報 | 少数の人で露出。大学が個別に知らせる | 確認済み（同大学） |
| ほかのIT環境への広がり | 証拠は見つかっていない | 確認されていない（同大学） |
| 影響を受けた人数 | 書かれていない | 記載なし |
| 原因 | 調査を続けている | 調査中 |
| 公表の日付 | ページに書かれていない | 記載なし |
| IPCの調査 | 調査が始まる見込み | 調査中 |
読み方の注意：サイトの表は「あり得る項目」の一覧で、あなたの情報とは限らない
公式の一覧は、サイトごとに「その集団について盗まれた情報」を並べたもので、個人ごとの内訳ではありません。自分の情報の内訳は、窓口に問い合わせて確かめる必要があります。同大学の調査の結果（ほかのIT環境への広がりの証拠なし）は、同大学自身の調査によるもので、第三者の検証は公表されていません。
フォームの提出内容が盗まれると、何が起きうるか
以下は一般に言えることで、今回これらが起きたという意味ではありません。今回起きたとして同大学が公表しているのは、上の「何が起きたのか」の範囲です。
York IDの番号、氏名に近い連絡先、住所、学歴や職歴があると、大学を名乗る本物らしい連絡が作れます。生年月日や家族の連絡先が加わると、本人確認を装う連絡に使われえます。健康、障害、性的指向、法的・犯罪歴などの機微な情報は、変えられないうえ、脅しや嫌がらせの材料になりえます。政府発行の身分証や金融口座の情報がある場合は、その情報を使った口座の開設や申込みの悪用が懸念されます。同大学は、盗まれた情報の大半は、身分情報の不正利用の高いリスクに結びつく種類のものではないとしています。
大学などの運営者が見直すこと
本節は同大学の対応を評価するものではなく、侵害の技術的な内容も推測しません。原因は公表されていないため、公表された事実から言える点に絞り、当サイトの見解として示します。
古い提出内容を、長く持ち続けない
対象の開始年は、最も古いサイトで2007年です。つまり、最長で約20年分の提出内容が対象です（当サイトの見解）。フォームごとに保存の期間を決め、用途が終わった提出内容は、消すか、集計だけを残します。
機微な項目は、そもそも集めない
フォームの用途は会議の登録や寮の申込みなど様々で、サイトによっては健康、経済状況、法的・犯罪歴、性的指向などの項目が含まれていました。その用途で本当に必要かを、フォームごとに見直し、不要な項目は削ります。集めなければ、盗まれません（当サイトの見解）。
部局ごとのフォームを棚卸しする
今回の対象は、14の学部・部局のサイトに分かれていました。分散して運営されるフォームは、持ち主と保存先が見えにくくなります。どの部局がどのフォームをどこに保存しているかを、台帳に載せます（当サイトの見解）。
フォームの保存先を、ほかの環境から分ける
同大学は、ほかのIT環境への広がりの証拠は見つかっていないとしています。フォームの保存先は、学籍や職員のシステムと認証・ネットワークを分け、侵害されても広がらない構成にします（当サイトの見解）。
対象の人に、何が盗まれたかを個別に答えられる体制にしておく
同大学は、窓口で本人確認のうえ、影響を受けた情報を案内するとしています。件数が多いと返事に時間がかかるため、提出内容の保存の形を、個人ごとに引ける形にしておくと、通知の質が上がります（当サイトの見解）。
出典（公開記録）
本記事の事実関係は以下の公開情報にもとづきます。攻撃の手順の詳細は扱っていません。
- York University「Cybersecurity Incident」（公式ページ。英語。2026年11月12日に確認） — yorku.ca
更新履歴
2026-11-12：初版。ヨーク大学の公式ページにもとづく。公表の日付と件数はページに書かれていない。続報が出たら更新する。
次に読む
- 教育分野の個人情報流出：ETS（カリフォルニア州の統一テスト）の生徒情報の流出
- 偽の連絡の見分け方：フィッシングとは
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）