Para: pessoas que preencheram formulários online (inscrições em reuniões, pedidos de moradia, pesquisas e outros) em qualquer um dos 14 sites de faculdades e departamentos da Universidade York (Canadá) a partir de um ano inicial entre 2007 e 2022 até outubro de 2026. Este artigo é uma explicação baseada no comunicado oficial da universidade e não aborda etapas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
- Quem é afetado
pessoas que preencheram formulários online (inscrições em reuniões, pedidos de moradia, pesquisas e outros) em qualquer um dos 14 sites de faculdades e departamentos da Universidade York (Canadá) a partir de um ano inicial entre 2007 e 2022 até outubro de 2026.
- Confirmado até agoraVer a tabela ↓
- Envios a formulários online de 14 sites
- Número de identificação da York, dados de contato, histórico acadêmico e profissional
- Data de nascimento, sexo, cidadania, raça e etnia, religião, orientação sexual, imagens
Mais 2
- Informações de saúde, deficiência, situação financeira, antecedentes legais ou criminais, situação de vacinação
- Documentos de identidade oficiais e dados de contas financeiras
- Ainda não confirmado
- O número de pessoas afetadas (não informado)
- A causa (a universidade diz que sua investigação continua)
- A data do comunicado (não consta na página)
Mais 1
- O resultado da análise do IPC (a universidade espera que um processo seja aberto)
- O que fazer agoraVer os passos ↓
- Confira os 14 sites e anos para decidir se você está no alcance
- Pergunte à universidade quais das suas informações foram levadas
- Se receber uma oferta de monitoramento de crédito, inscreva-se seguindo as instruções
Mais 3
- Desconfie de mensagens que pareçam conhecer os detalhes dos seus formulários
- Revise suas contas financeiras, senhas e autenticação multifator
- Se informações sensíveis puderem estar envolvidas, conheça as formas que o uso indevido pode tomar
- Onde verificar (fonte)Todas as fontes ↓
- Universidade York, "Cybersecurity Incident" (página oficial; consultada em 12 de novembro de 2026)
- Última verificação
- Em 12 de novembro de 2026
Próximos avisos e o que verificamos
A universidade diz que publicará mais informações em sua página conforme apropriado. Ao verificarmos em 12 de novembro de 2026, a página não mostrava atualizações com data.
O que as pessoas que podem ser afetadas devem fazer hoje
Confira os 14 sites e anos para decidir se você está no alcance
A universidade diz que as pessoas que preencheram formulários online nos sites da tabela abaixo, do ano indicado até outubro de 2026, são afetadas, e que seu comunicado serve como notificação. Se você se lembra de ter se inscrito em uma reunião, pedido moradia, respondido a uma pesquisa ou usado outro formulário em um site de faculdade ou departamento, pode estar no alcance.
Pergunte à universidade quais das suas informações foram levadas
O contato é incident@yorku.ca (página oficial). A universidade primeiro verificará sua identidade e depois revisará as informações afetadas. As respostas podem levar algum tempo por causa do número de pessoas envolvidas.
Se receber uma oferta de monitoramento de crédito, inscreva-se seguindo as instruções
Pessoas cujos documentos de identidade oficiais ou dados de contas financeiras foram expostos recebem dois anos de monitoramento de crédito e proteção contra roubo de identidade gratuitos, com a oferta enviada por e-mail. A universidade incentiva as pessoas elegíveis a se inscrever, e as instruções estão nessa mensagem. Se você não tiver certeza de que a mensagem é genuína, confirme-a com o contato da página oficial antes de abrir qualquer link (nossa opinião).
Desconfie de mensagens que pareçam conhecer os detalhes dos seus formulários
A universidade pede atenção a e-mails, mensagens de texto e ligações suspeitos, especialmente os que pedem informações pessoais ou levam a sites desconhecidos. Diz que nunca pedirá senhas, números de seguro social, dados bancários ou números completos de cartão de crédito. Veja O que é phishing.
Revise suas contas financeiras, senhas e autenticação multifator
A universidade recomenda monitorar as contas financeiras em busca de atividade incomum, usar senhas fortes e exclusivas e ativar a autenticação multifator onde houver. Se notar algo suspeito, entre em contato prontamente com sua instituição financeira ou provedor de serviços; suspeitas de fraude também podem ser comunicadas ao Canadian Anti-Fraud Centre e à universidade (página oficial).
Se informações sensíveis puderem estar envolvidas, conheça as formas que o uso indevido pode tomar
Informações como saúde, deficiência, orientação sexual e antecedentes legais ou criminais não podem ser trocadas como uma senha. São possíveis ameaças ou mensagens de alguém que finja conhecer esses detalhes (o que pode acontecer em geral). Não interaja, e consulte o contato da universidade e a polícia.
O que aconteceu (segundo o comunicado da Universidade York)
Esta seção se baseia na página oficial da universidade "Cybersecurity Incident". É o relato da própria universidade e não foi verificado por terceiros. A página não mostra a data de publicação.
25 de outubro de 2026
O incidente chegou ao conhecimento da universidade. Ela agiu rapidamente para contê-lo e iniciou uma investigação com a ajuda de especialistas externos.Investigação
Não foram encontradas provas de que o agente não autorizado tenha ido além dos sistemas afetados ou obtido acesso a outras partes do ambiente de TI da universidade.Relatórios
A universidade informou a violação de privacidade à Comissária de Informação e Privacidade de Ontário (IPC) e notificou as autoridades policiais. Espera que o IPC abra um processo.Comunicado
A universidade começa a notificar as pessoas afetadas. Sua página lista os sites e os tipos de informações envolvidos (a data não consta).
- O que aconteceu
- Um agente não autorizado acessou formulários online limitados usados por departamentos da universidade e levou as informações pessoais enviadas por meio deles
- Quem é afetado
- Pessoas que preencheram formulários online nos sites listados do ano indicado até outubro de 2026. Os formulários eram usados para inscrições em reuniões, pedidos de moradia, pesquisas e mais. Nem todos os tipos de dados se aplicam a todas as pessoas, e a maior parte das informações roubadas era básica, como números de identificação da York e dados de contato
- Número de pessoas
- Não informado
- Pessoas adicionais notificadas diretamente
- Um pequeno número de pessoas será notificado diretamente. Quem teve documento de identidade oficial ou dados de conta financeira expostos recebe dois anos de monitoramento de crédito e proteção contra roubo de identidade gratuitos (aviso por e-mail)
- Causa
- A investigação continua. Foram feitas melhorias de segurança de resposta nos formulários web, até nova consideração
- Relatórios
- Informado ao IPC de Ontário e às autoridades policiais
- Contato
- incident@yorku.ca (a identidade é verificada primeiro, depois as informações afetadas são revisadas)
Os 14 sites e um resumo das informações roubadas
O ano é o início do período daquele site; todos os períodos vão até outubro de 2026. A tabela destaca apenas os principais itens sensíveis da lista oficial, conforme compilado por este site. A lista completa de itens está na página oficial, e dentro de um site nem todos os itens se aplicam a todas as pessoas.
| Site | A partir de | Informações de saúde | Situação financeira | Antecedentes legais ou criminais | Orientação sexual |
|---|---|---|---|---|---|
| Centre for Refugee Studies | 2019 | Não listado | Listado | Listado | Não listado |
| Department of Psychology | 2016 | Listado | Não listado | Não listado | Listado |
| Division of Students | 2019 | Listado | Listado | Listado | Listado |
| Faculty of Environmental and Urban Change | 2007 | Listado | Listado | Listado | Não listado |
| Faculty of Graduate Studies | 2013 | Listado | Listado | Listado | Listado |
| Faculty of Liberal Arts and Professional Studies | 2013 | Listado | Listado | Listado | Listado |
| Faculty of Science | 2014 | Listado | Listado | Não listado | Listado |
| Glendon Housing | 2017 | Listado | Não listado | Não listado | Não listado |
| Housing and Conference Services | 2015 | Não listado | Não listado | Não listado | Não listado |
| Lassonde School of Engineering | 2020 | Listado | Não listado | Não listado | Listado |
| Research and Innovation | 2018 | Não listado | Listado | Não listado | Listado |
| Schulich School of Business | 2016 | Listado | Listado | Listado | Não listado |
| University Secretariat | 2015 | Não listado | Não listado | Não listado | Não listado |
| Vice-Provost Academic | 2022 | Não listado | Não listado | Não listado | Não listado |
"Listado" significa que o item consta na lista de informações roubadas daquele site. Todos os sites listam número de identificação da York, e-mail, telefone, endereço postal, histórico acadêmico, histórico profissional e contato de familiares ou terceiros. A universidade explica que "informações de saúde" podem incluir informações clínicas como diagnóstico e tratamento, que "situação financeira" pode incluir renda e dívidas, e que "antecedentes legais ou criminais" podem indicar simplesmente que alguém não tem registro nem sanção.
O que se sabe e o que não se sabe
A situação em 12 de novembro de 2026. Atualizaremos a coluna de status quando houver mais publicações.
| Item | Conteúdo | Status |
|---|---|---|
| Envios a formulários online de 14 sites | Roubados | Confirmado (a universidade) |
| Número de identificação da York, dados de contato, histórico acadêmico e profissional | A maior parte das informações roubadas | Confirmado (a universidade) |
| Data de nascimento, sexo, cidadania, raça e etnia, religião, orientação sexual, imagens | Incluídos conforme o site | Confirmado (a universidade) |
| Informações de saúde, deficiência, situação financeira, antecedentes legais ou criminais, situação de vacinação | Incluídos conforme o site | Confirmado (a universidade) |
| Documentos de identidade oficiais e dados de contas financeiras | Expostos para um pequeno número de pessoas, que são notificadas diretamente | Confirmado (a universidade) |
| Propagação a outros sistemas de TI | Nenhuma prova encontrada | Não confirmado (a universidade) |
| Número de pessoas afetadas | Não informado | Não informado |
| Causa | A investigação continua | Em investigação |
| Data do comunicado | Não consta na página | Não informado |
| Análise do IPC | Espera-se que um processo seja aberto | Em investigação |
Como ler isto: as tabelas dos sites listam itens possíveis, não necessariamente os seus
A lista oficial mostra as informações roubadas de cada grupo, não um detalhamento para qualquer pessoa em particular. Para saber o que foi levado sobre você, é preciso perguntar à universidade. A constatação de que não há provas de propagação a outros sistemas de TI vem da própria investigação da universidade, e nenhuma verificação de terceiros foi publicada.
O que pode acontecer quando envios de formulários são roubados
O seguinte é o que pode acontecer em geral, não uma declaração de que algo disso ocorreu aqui. O que a universidade diz que ocorreu se limita a "O que aconteceu", acima.
Um número de identificação da York, dados de contato, um endereço e o histórico acadêmico ou profissional permitem montar mensagens convincentes que parecem vir da universidade. Acrescentar uma data de nascimento ou um contato de familiar pode fazer parecer real uma mensagem que finge verificar a sua identidade. Informações sensíveis como saúde, deficiência, orientação sexual e antecedentes legais ou criminais não podem ser trocadas e podem ser usadas para ameaças ou assédio. Quando documentos de identidade oficiais ou dados de contas financeiras estão envolvidos, preocupa o uso indevido, como abrir contas ou solicitar crédito. A universidade diz que a maior parte das informações roubadas não é do tipo associado a risco elevado de fraude de identidade.
O que universidades e outros operadores devem revisar
Esta seção não avalia a resposta da universidade nem especula sobre detalhes técnicos. A causa não foi divulgada, então se limita ao que decorre dos fatos divulgados, como nossa opinião.
Não guarde por muito tempo envios antigos
O ano inicial mais antigo é 2007, então envios de até cerca de vinte anos estão no alcance (nossa opinião). Defina um prazo de retenção para cada formulário e exclua os envios quando a finalidade terminar, ou guarde apenas dados agregados.
Não colete campos sensíveis de que não precisa
Os formulários atendiam a muitas finalidades, como inscrições em reuniões e pedidos de moradia, e alguns sites coletavam itens de saúde, financeiros, legais ou criminais e de orientação sexual. Revise em cada formulário se isso é realmente necessário para a sua finalidade e remova os campos que não forem. Dados que você não coleta não podem ser roubados (nossa opinião).
Faça um inventário dos formulários dos departamentos
O alcance aqui estava espalhado por 14 sites de faculdades e departamentos. Formulários operados de modo distribuído dificultam ver quem são os responsáveis e onde ficam armazenados. Registre qual departamento opera qual formulário e onde ele é armazenado (nossa opinião).
Separe o local de armazenamento dos formulários de outros ambientes
A universidade diz que não encontrou provas de propagação a outros sistemas de TI. Mantenha o armazenamento de formulários separado dos sistemas de alunos e funcionários em autenticação e rede para que uma violação não se espalhe (nossa opinião).
Esteja em condições de dizer a cada pessoa o que foi levado sobre ela
A universidade diz que, após a verificação de identidade, informará às pessoas quais informações foram afetadas. Com muitas pessoas envolvidas, as respostas demoram, então armazenar os envios de forma que possam ser consultados por pessoa melhora a notificação (nossa opinião).
Fontes (registros públicos)
Os fatos deste artigo vêm das informações públicas abaixo. Detalhes das etapas do ataque não são tratados.
- Universidade York, "Cybersecurity Incident" (página oficial; consultada em 12 de novembro de 2026) — yorku.ca
Histórico de atualizações
2026-11-12: Primeira versão. Com base na página oficial da Universidade York. A data do comunicado e o número de pessoas afetadas não constam na página. Atualizaremos quando houver mais publicações.
Leia em seguida
- Uma violação na educação: O vazamento de dados de estudantes da ETS (testes estaduais da Califórnia)
- Reconhecendo mensagens falsas: O que é phishing
- Outros incidentes de 2026: Vazamentos de dados e ciberataques de 2026