Для: нынешних и бывших студентов LMU Мюнхен (Ludwig-Maximilians-Universität München), в том числе бывших студентов по обмену и абитуриентов, а также для всех, кто годами хранит данные студентов или участников. Статья основана на официальных уведомлениях LMU и не описывает методы атак и мошенничества.
Что сделать студентам и выпускникам сегодня
Выясните, можете ли вы быть затронуты: выпускники, студенты по обмену и абитуриенты тоже входят в круг
LMU говорит, что затронут весь набор данных в его системе приёма, охватывающий примерно 50 лет. Это касается нынешних студентов, выпускников, тех, кто ушёл без диплома, и тех, кто только подавал заявление.
Если вы учились в LMU как иностранный студент или студент по обмену, в том числе из Японии, вы можете быть затронуты, если были зарегистрированы в этой системе. По состоянию на 3 октября 2026 года LMU не начал персональные уведомления, поэтому ждать письма не нужно, чтобы выполнить шаги ниже.
Если вы указывали LMU банковский счёт в 2005 году или позже, проверьте выписки
LMU говорит, что банковские реквизиты (IBAN и имя владельца счёта) есть в записях с 2005 года. Если вы указывали LMU немецкий или европейский счёт для оплаты или возвратов, проверьте его на списания, которых вы не узнаёте.
Если счёт принадлежал родителям или другому человеку, сообщите и им. Если вы закрыли счёт при выезде из Германии, с него нельзя списать деньги; если не уверены, закрыт ли он, уточните в банке.
Попросите банк отменить любое списание, которое вы не узнаёте
SEPA Direct Debit (общеевропейская схема банковского списания) можно вернуть по запросу в течение 8 недель с даты списания без объяснения причин. Списание, на которое вы не давали разрешения, можно оспорить в течение до 13 месяцев.
Если вы нашли такое списание, начните процедуру в приложении своего банка или в отделении. Если вы получили договор или требование оплаты, которых не узнаёте, свяжитесь и с этой компанией.
Не открывайте ссылки в письмах, которые якобы отправлены от LMU, медицинской страховой компании или ведомства BAföG
Данные, которые могли утечь, включают имя, адрес и адрес электронной почты, а также сведения о зачислении, номер медицинской страховки и номер BAföG (государственной помощи студентам в Германии). Имея их, мошенник может написать очень убедительное сообщение.
LMU также советует не открывать вложения и ссылки без тщательной проверки, даже в письмах, которые кажутся адресованными лично вам, и не сообщать банковские реквизиты или пароли. Если вы получили сообщение о «возврате средств» или «обязательной повторной регистрации», сами откройте официальный сайт LMU и проверьте (см. Что такое фишинг?).
LMU не просит вас менять пароль
LMU говорит, что пароли не затронуты и университетские учётные записи защищены. Однако если вы используете тот же пароль на других сервисах, сейчас хороший момент перестать повторно использовать его (выбор менеджера паролей).
Что произошло (по уведомлениям LMU)
LMU опубликовал первое уведомление 19 сентября 2026 года, а обновление и исправленный FAQ — 28 сентября. Всё ниже взято из официальных уведомлений LMU.
16 сентября 2026
LMU выявляет инцидент. Неустановленное лицо получило доступ к ИТ-системе, в которой хранятся постоянные данные о зачислении студентов.19 сентября
Первое уведомление. LMU заявляет, что должен исходить из того, что данные были похищены, и что в расследовании участвуют Баварское управление уголовной полиции (LKA) и следственные органы.22 сентября
Зачисление возобновляется.28 сентября
Обновление. Объём составляет около 600 000 записей примерно за 50 лет. Признаков публикации или злоупотребления пока нет; LMU продолжает внимательно следить за даркнетом (сайтами для незаконной торговли, которые обычные поисковики не показывают).30 сентября
Система управления курсами (LSF) начинает поэтапно возобновлять работу.
- Объём
- Весь набор данных в системе приёма: нынешние и бывшие студенты примерно за 50 лет, около 600 000 записей. Абитуриенты и другие лица, чьи данные обрабатывались в системе, могут быть включены
- Идентификационные данные
- Имя, дата рождения, пол, в некоторых случаях место или страна рождения
- Контактные данные
- Адрес, номер телефона, адрес электронной почты
- Банковские реквизиты
- IBAN и имя владельца счёта (записи с 2005 года; до 2005 года не собирались)
- Номера
- Номер медицинской страховки, номер BAföG (государственной помощи студентам), где применимо
- История учёбы
- Предыдущее образование, направление обучения, причины академического отпуска. Причины отпуска могут включать специальные категории персональных данных по статье 9 Общего регламента ЕС по защите данных (GDPR), например сведения о здоровье
- Различия по годам
- Записи до 1994 года включительно содержат только постоянные данные и историю семестров. Записи с 2005 года содержат больше
- Не затронуты
- Пароли, данные об экзаменах, оценки, содержание курсов и индивидуальные результаты
- Причина
- Не раскрыта. LMU отключил затронутую систему, защитил данные и расследует инцидент вместе с внешними экспертами
- Ведомства
- Баварское управление уголовной полиции (LKA) расследует инцидент. Соответствующие надзорные и правоохранительные органы проинформированы
- Контакт
- cybersicherheit@lmu.de
Как это понимать: «нет признаков публикации» не значит «безопасно»
LMU говорит, что пока не видит признаков того, что данные были опубликованы или использованы незаконно. Это значит, что ничего не найдено пока, а не что данные никогда не будут использованы.
Ваш IBAN, имя и адрес остаются прежними годами, если вы их не меняете. Не проверяйте выписки один раз; продолжайте проверять в течение нескольких месяцев.
Записи до 1994 года
Только постоянные данные и история семестров
Записи с 1995 по 2004 год
Без банковских реквизитов (LMU их до 2005 года не собирал)
Записи с 2005 года
Больше полей, включая IBAN и имя владельца счёта
↓ Что делать
Независимо от года записи
Не открывайте ссылки в письмах, которые якобы отправлены от LMU, медицинской страховой компании или ведомства по студенческой помощи. Имя или номер в сообщении не доказывают, что оно настоящее
Если вы указывали LMU банковский счёт в 2005 году или позже
Продолжайте проверять выписки в течение нескольких месяцев. Незнакомые списания можно вернуть в течение 8 недель без объяснения причин; те, на которые вы не давали разрешения, — в течение 13 месяцев
Для чего может быть использован утёкший IBAN
| Утёкшие данные | Возможное злоупотребление | Что делать |
|---|---|---|
| IBAN + имя + адрес | Прямые списания, оформленные на ваше имя (например, для онлайн-покупок) | Проверьте выписки; попросите банк отменить незнакомые списания |
| Имя + электронная почта + сведения о зачислении | Убедительные письма, которые якобы от LMU | Не открывайте ссылки; сами откройте официальный сайт |
| Номер медицинской страховки или BAföG | Сообщения, якобы от страховой компании или ведомства по студенческой помощи | Не считайте правильный номер доказательством, что сообщение настоящее |
Один IBAN не позволяет никому войти в ваш онлайн-банк или вывести деньги с вашего счёта. В деле Odido в Нидерландах Нидерландская банковская ассоциация также заявила, что большинству людей не нужно менять счёт (см. утечку данных Odido).
Однако SEPA-списание инициирует компания, которая получает деньги, на основании мандата (разрешения) владельца счёта, и банк каждый раз этот мандат не проверяет. Поэтому выявление и отмена незнакомых списаний — самое надёжное, что может сделать владелец счёта.
Мнение этого сайта: бывшие студенты по обмену, уехавшие домой, реже всего замечают проблему
Бывшие иностранные студенты, вернувшиеся домой, иногда сохраняют немецкий счёт открытым и редко смотрят его выписки. Если в учётных данных указан старый немецкий адрес, письма от банка или компании, которая собирает платежи, до них тоже не дойдут.
Если вы не уверены, закрыт ли счёт, спросите в банке и подумайте о закрытии, если он вам больше не нужен. Ограничение в 13 месяцев на оспаривание несанкционированных списаний означает, что непроверенные выписки — настоящий риск.
Для организаций, которые годами хранят данные студентов или участников
Затронутые данные охватывают примерно 50 лет записей студентов и выпускников. Университетам действительно нужно долго хранить некоторые записи, например подтверждения зачисления и дипломы. Однако банковские реквизиты и номера медицинской страховки собираются для процедур зачисления. LMU не сообщил, зачем их хранил.
С учётом этого есть три общих шага, которые может проверить любая организация, хранящая данные студентов или участников.
Отделите записи, которые нужно хранить долго, от данных, нужных только для процедуры
Подтверждение диплома требует имени, даты рождения, периода обучения и степени. Банковские реквизиты и номера страховки часто не нужны после завершения процедур зачисления. Для каждого поля проверьте, требует ли его хранения закон или норматив, или просто нет процесса для его удаления.
Установите срок хранения банковских реквизитов выпускников и бывших участников
Статья 5(1)(e) GDPR требует, чтобы персональные данные хранились в форме, позволяющей идентифицировать людей, не дольше, чем необходимо для их цели (ограничение хранения).
Банковские реквизиты выпускников или бывших участников не используются в повседневной работе, но при утечке остаются под угрозой. Установите срок хранения и удаляйте автоматически по его окончании. Ручное удаление не работает долго.
Перенесите старые записи из системы, используемой для повседневных процедур
Если система, которой каждый год пользуются многие люди, например приёмная, хранит также десятилетия старых записей, утечка этой системы раскроет все они. Переносите записи выпускников в отдельное хранилище с отдельными правами доступа, чтобы повседневная система не могла читать их напрямую. См. базовые требования безопасности для организаций.
Другие случаи в сфере образования: утечка данных Canvas (Instructure) для системы управления обучением и утечка данных Mathspace для образовательной платформы.
Источники (публичные материалы)
Факты в этой статье основаны на следующей публичной информации. Мы не строим предположений о нераскрытом методе или причине вторжения.
- LMU, «Information über einen Datenschutzvorfall» (19 сентября 2026) — lmu.de
- LMU, «Update zum Datenschutzvorfall» (28 сентября 2026) — lmu.de
- LMU, «Questions about the data security incident» (FAQ, обновлён 28 сентября 2026) — lmu.de (на английском) / lmu.de (на немецком)
- Европейская комиссия, Your Europe, «Payments, transfers and cheques» (возврат по прямому списанию в течение 8 недель) — europa.eu
- Stiftung Warentest, «Lastschrift zurückholen» (8 недель с мандатом, 13 месяцев без) — test.de
- Директива (EU) 2015/2366 (PSD2), статьи 71 и 77 — EUR-Lex
- Регламент (EU) 2016/679 (GDPR), статьи 5 и 9 — EUR-Lex
История обновлений
2026-10-03: первая версия, основанная на первом уведомлении LMU от 19 сентября и его обновлении и FAQ от 28 сентября. Расследование LMU продолжается; мы обновим статью, когда университет уведомит затронутых людей или раскроет причину.
Читайте далее
- Случаи в сфере образования в США: Министерство образования Флориды (около 4,9 млн, SSN) / Frontline Education (школьное ПО, SSN и идентификаторы Medicaid)
- Защита от мошенничества после утечки: Что такое фишинг? / Ложные предупреждения о вирусах (мошенничество с техподдержкой)
- Другой случай с утёкшими IBAN: Odido (Нидерланды, IBAN и идентификационные номера)
- Случаи в сфере образования: Canvas (Instructure) / Mathspace (Австралия и Новая Зеландия)
- Другие случаи 2026 года: Утечки данных и кибератаки в 2026 году
- Для операторов: Базовые требования безопасности для организаций