Para: estudantes atuais e antigos da LMU Munique (Ludwig-Maximilians-Universität München), inclusive ex-estudantes de intercâmbio e candidatos, e qualquer pessoa que mantenha dados de estudantes ou membros por anos. Este artigo se baseia nos comunicados oficiais da LMU e não trata de técnicas de ataque ou golpe.
O que estudantes e ex-estudantes devem fazer hoje
Descubra se você pode ser afetado — ex-estudantes, estudantes de intercâmbio e candidatos entram nessa conta
A LMU diz que todo o conjunto de dados do seu sistema de admissão é afetado, abrangendo cerca de 50 anos. Isso inclui estudantes atuais, formados, pessoas que saíram sem diploma e pessoas que apenas se candidataram.
Se você estudou na LMU como estudante internacional ou de intercâmbio, inclusive vindo do Japão, pode ser afetado caso estivesse registrado nesse sistema. Até 3 de outubro de 2026, a LMU não havia iniciado notificações individuais, então você não precisa esperar uma carta para seguir os passos abaixo.
Se você informou à LMU uma conta bancária em 2005 ou depois, verifique seus extratos
A LMU diz que os dados bancários (IBAN e nome do titular) estão nos registros a partir de 2005. Se você informou à LMU uma conta alemã ou da UE para taxas ou reembolsos, verifique essa conta quanto a débitos diretos que você não reconhece.
Se a conta pertencia a um dos pais ou a outra pessoa, avise também. Se você encerrou a conta ao deixar a Alemanha, nenhum débito pode ser feito nela; se não tiver certeza se a encerrou, pergunte ao banco.
Peça ao seu banco para reverter qualquer débito direto que você não reconheça
Um SEPA Direct Debit (o sistema europeu de débito bancário) pode ser reembolsado mediante solicitação em até 8 semanas a partir da data do débito, sem necessidade de justificativa. Um débito que você nunca autorizou pode ser revertido em até 13 meses.
Se encontrar um desses débitos, inicie o processo no aplicativo do seu banco ou em uma agência. Se receber um contrato ou uma cobrança que não reconhece, entre em contato também com essa empresa.
Não abra links em e-mails que se digam da LMU, de um plano de saúde ou do escritório do BAföG
Os dados que podem ter vazado incluem seu nome, endereço e e-mail, além de dados de matrícula, número do seguro saúde e número do BAföG (auxílio estudantil estadual alemão). Com eles, um golpista pode escrever uma mensagem muito convincente.
A LMU também orienta a não abrir anexos ou links sem verificação cuidadosa, mesmo em e-mails que pareçam personalizados, e a não informar dados bancários ou senhas. Se receber uma mensagem sobre um "reembolso" ou uma "necessidade de nova matrícula", acesse você mesmo o site oficial da LMU para verificar (veja O que é phishing?).
Você não precisa trocar sua senha da LMU
A LMU diz que as senhas não foram afetadas e que as contas universitárias estão seguras. Se você usa a mesma senha em outros serviços, porém, este é um bom momento para deixar de reutilizá-la (como escolher um gerenciador de senhas).
O que aconteceu (segundo os comunicados da LMU)
A LMU publicou seu primeiro comunicado em 19 de setembro de 2026, e uma atualização e perguntas frequentes revisadas em 28 de setembro. Tudo o que está abaixo foi extraído dos comunicados oficiais da LMU.
16 de setembro de 2026
A LMU identifica o incidente. Um agente não autorizado havia acessado um sistema de TI que mantém dados cadastrais de matrículas de estudantes.19 de setembro
Primeiro comunicado. A LMU diz que precisa presumir que os dados foram levados e que o Departamento Estadual de Polícia Criminal da Baviera (LKA) e os órgãos investigativos estão envolvidos.22 de setembro
A matrícula é reaberta.28 de setembro
Atualização. O alcance é de cerca de 600.000 registros ao longo de cerca de 50 anos. Até agora, não há sinais de publicação ou uso indevido; a LMU continua monitorando de perto a dark web (sites usados para comércio ilegal que mecanismos de busca comuns não mostram).30 de setembro
O sistema de gestão de cursos (LSF) começa a ser reaberto em etapas.
- Alcance
- Todo o conjunto de dados do sistema de admissão: estudantes atuais e antigos ao longo de cerca de 50 anos, cerca de 600.000 registros. Candidatos e outras pessoas cujos dados foram processados no sistema podem estar incluídos
- Dados de identificação
- Nome, data de nascimento, gênero, em alguns casos local ou país de nascimento
- Dados de contato
- Endereço, número de telefone, endereço de e-mail
- Dados bancários
- IBAN e nome do titular da conta (registros a partir de 2005; nenhum coletado antes de 2005)
- Números
- Número do seguro saúde, número do BAföG (auxílio estudantil estadual), quando aplicável
- Histórico acadêmico
- Formação anterior, curso, motivos de trancamento de matrícula. Os motivos de trancamento podem incluir categorias especiais de dados pessoais previstas no Artigo 9 do Regulamento Geral de Proteção de Dados da UE (GDPR), como informações de saúde
- Diferenças por ano
- Registros até 1994, inclusive, contêm apenas dados cadastrais e histórico de semestres. Registros a partir de 2005 contêm mais campos
- Não afetados
- Senhas, informações de provas, notas, conteúdo dos cursos e desempenho individual
- Causa
- Não divulgada. A LMU desligou o sistema afetado, protegeu os dados e investiga com especialistas externos
- Autoridades
- O Departamento Estadual de Polícia Criminal da Baviera (LKA) está investigando. As autoridades de supervisão e de aplicação da lei competentes foram informadas
- Contato
- cybersicherheit@lmu.de
Como interpretar: "nenhum sinal de publicação" não significa segurança
A LMU diz que, até agora, não viu sinais de que os dados tenham sido publicados ou usados indevidamente. Isso significa que nada foi encontrado até o momento, não que os dados nunca serão usados.
Seu IBAN, nome e endereço permanecem os mesmos por anos, a menos que você os altere. Não verifique seus extratos apenas uma vez; continue verificando por vários meses.
Registros até 1994
Apenas dados cadastrais e histórico de semestres
Registros de 1995 a 2004
Sem dados bancários (a LMU não os coletou antes de 2005)
Registros a partir de 2005
Mais campos, incluindo IBAN e titular da conta
↓ O que fazer
Qualquer que seja a idade do seu registro
Não abra links em e-mails que se digam da LMU, de um plano de saúde ou de um órgão de auxílio estudantil. Um nome ou número na mensagem não é prova de que ela é genuína
Se você informou à LMU uma conta bancária em 2005 ou depois
Continue verificando seus extratos por vários meses. Débitos não reconhecidos podem ser reembolsados em até 8 semanas, sem justificativa; os que você nunca autorizou, em até 13 meses
Para que um IBAN vazado pode ser usado
| Dado vazado | Possível uso indevido | O que fazer |
|---|---|---|
| IBAN + nome + endereço | Débitos diretos criados em seu nome (por exemplo, em compras online) | Verifique os extratos; peça ao seu banco para reverter débitos não reconhecidos |
| Nome + e-mail + dados de matrícula | E-mails convincentes que se dizem da LMU | Não abra links; acesse você mesmo o site oficial |
| Número do seguro saúde ou do BAföG | Mensagens que se dizem de uma seguradora ou do órgão de auxílio estudantil | Não considere um número correto como prova de que a mensagem é genuína |
Um IBAN sozinho não permite que alguém acesse seu internet banking nem tire dinheiro da sua conta. No caso Odido, nos Países Baixos, a associação bancária holandesa também disse que a maioria das pessoas não precisa trocar de conta (veja o vazamento de dados da Odido).
Um débito direto SEPA, porém, é iniciado pela empresa que cobra o valor com base em um mandato (autorização) do titular da conta, e o banco não verifica esse mandato a cada vez. Por isso, identificar e reverter débitos não reconhecidos é a ação mais confiável que o titular da conta pode tomar.
Visão deste site: ex-estudantes de intercâmbio que voltaram para casa são os menos propensos a perceber
Ex-estudantes internacionais que retornaram ao seu país às vezes mantêm a conta alemã aberta e raramente verificam os extratos. Se o endereço cadastrado for um antigo endereço na Alemanha, as cartas do banco ou de uma empresa de cobrança também não chegarão até eles.
Se você não tiver certeza de ter encerrado uma conta, pergunte ao banco e considere encerrá-la caso não a use mais. O prazo de 13 meses para reverter débitos não autorizados significa que deixar de ler os extratos é o verdadeiro risco.
Para organizações que mantêm dados de estudantes ou membros por anos
Os dados envolvidos abrangem cerca de 50 anos de registros de estudantes e ex-estudantes. Universidades precisam, de fato, manter alguns registros por muito tempo, como comprovantes de matrícula e diplomas. Dados bancários e números de seguro saúde, porém, são coletados para os procedimentos de matrícula. A LMU não disse por que os manteve.
Com isso em mente, há três pontos gerais que qualquer organização que mantenha dados de estudantes ou membros pode revisar.
Separe os registros que você precisa manter a longo prazo dos dados necessários apenas para um procedimento
Um comprovante de diploma precisa de nome, data de nascimento, período de matrícula e diploma. Dados bancários e números de seguro muitas vezes não são necessários após a conclusão dos procedimentos de matrícula. Para cada campo, verifique se uma lei ou regulamento exige sua manutenção ou se simplesmente não existe um processo para excluí-lo.
Defina uma data de exclusão para os dados bancários de formados e ex-membros
O Artigo 5(1)(e) do GDPR exige que dados pessoais sejam mantidos em uma forma que identifique as pessoas por não mais do que o necessário para sua finalidade (limitação de armazenamento).
Dados bancários de formados ou ex-membros não são usados no trabalho diário, mas continuam expostos em caso de vazamento. Defina um prazo de retenção e exclua automaticamente quando ele terminar. A exclusão manual não se sustenta a longo prazo.
Mova registros antigos para fora do sistema usado no dia a dia
Se um sistema que muitas pessoas usam todo ano, como o de admissões, também guarda décadas de registros antigos, uma violação desse sistema expõe todos eles. Transfira os registros de ex-estudantes para um armazenamento separado, com direitos de acesso próprios, de modo que o sistema do dia a dia não consiga lê-los diretamente. Veja a base de segurança para organizações.
Outros casos do setor educacional: a violação do Canvas (Instructure), em um sistema de gestão de aprendizagem, e a violação da Mathspace, em uma plataforma de ensino.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não especulamos sobre o método ou a causa não divulgados da invasão.
- LMU, "Information über einen Datenschutzvorfall" (19 de setembro de 2026) — lmu.de
- LMU, "Update zum Datenschutzvorfall" (28 de setembro de 2026) — lmu.de
- LMU, "Questions about the data security incident" (perguntas frequentes, atualizadas em 28 de setembro de 2026) — lmu.de (inglês) / lmu.de (alemão)
- Comissão Europeia, Your Europe, "Payments, transfers and cheques" (reembolso de débitos diretos em 8 semanas) — europa.eu
- Stiftung Warentest, "Lastschrift zurückholen" (8 semanas com mandato, 13 meses sem) — test.de
- Diretiva (UE) 2015/2366 (PSD2), Artigos 71 e 77 — EUR-Lex
- Regulamento (UE) 2016/679 (GDPR), Artigos 5 e 9 — EUR-Lex
Histórico de atualizações
2026-10-03: Primeira versão, com base no primeiro comunicado da LMU de 19 de setembro e na sua atualização e perguntas frequentes de 28 de setembro. A investigação da LMU está em andamento; atualizaremos quando ela notificar as pessoas afetadas ou divulgar a causa.
Leia em seguida
- Casos do setor educacional nos EUA: Departamento de Educação da Flórida (cerca de 4,9 milhões, SSNs) / Frontline Education (software escolar, SSNs e IDs do Medicaid)
- Como se proteger de golpes decorrentes do vazamento: O que é phishing? / Falsos alertas de vírus (golpes de suporte técnico)
- Outro caso com IBANs vazados: Odido (Países Baixos, IBANs e números de identificação)
- Casos do setor educacional: Canvas (Instructure) / Mathspace (Austrália e Nova Zelândia)
- Outros casos de 2026: Vazamentos de dados e ataques cibernéticos em 2026
- Para operadores: A base de segurança para organizações