Для: людей, заполнявших онлайн-формы (регистрация на встречи, заявки на общежитие, опросы и другие) на любом из 14 сайтов факультетов и подразделений Йоркского университета (Канада) с года начала между 2007 и 2022 годами по октябрь 2026 года. Статья — разбор на основе официального уведомления университета, она не описывает шаги атаки.
Развивается: статья будет обновляться по мере публикации организацией новых сведений
- Кого это касается
людей, заполнявших онлайн-формы (регистрация на встречи, заявки на общежитие, опросы и другие) на любом из 14 сайтов факультетов и подразделений Йоркского университета (Канада) с года начала между 2007 и 2022 годами по октябрь 2026 года. Статья — разбор на основе официального уведомления университета, она не описывает шаги атаки.
- ПодтвержденоСмотреть таблицу ↓
- Данные онлайн-форм на 14 сайтах
- Номер York ID, контактные данные, сведения об образовании и трудовой истории
- Дата рождения, пол, гражданство, раса и этническая принадлежность, религия, сексуальная ориентация, изображения
Ещё 2
- Сведения о здоровье, инвалидности, финансовое положение, юридическая или криминальная история, статус вакцинации
- Государственные удостоверения личности и данные финансовых счетов
- Пока не подтверждено
- Число затронутых людей (не названо)
- Причина (университет говорит, что расследование продолжается)
- Дата уведомления (на странице не указана)
Ещё 1
- Итог рассмотрения IPC (университет ожидает, что будет открыто дело)
- Что сделать сейчасСмотреть шаги ↓
- Проверьте 14 сайтов и годы, чтобы понять, входите ли вы в охват
- Спросите в университете, какая ваша информация была похищена
- Если вы получите предложение кредитного мониторинга, зарегистрируйтесь по инструкции
Ещё 3
- Остерегайтесь сообщений, которые будто знают данные из ваших форм
- Проверьте свои финансовые счета, пароли и многофакторную аутентификацию
- Если могли быть затронуты чувствительные сведения, знайте, какие формы может принять злоупотребление
- Где проверить (источник)Все источники ↓
- York University, «Cybersecurity Incident» (официальная страница; проверено 12 ноября 2026)
- Последняя проверка
- По состоянию на 12 ноября 2026 года
Планы обновлений и что мы проверили
Университет говорит, что будет публиковать дополнительную информацию на своей странице по мере необходимости. Когда мы проверили 12 ноября 2026 года, на странице не было обновлений с датами.
Что делать тем, кто мог быть затронут, сегодня
Проверьте 14 сайтов и годы, чтобы понять, входите ли вы в охват
Университет говорит, что затронуты люди, заполнявшие онлайн-формы на сайтах из таблицы ниже с указанного года по октябрь 2026 года, и что его уведомление служит оповещением. Если вы помните, что регистрировались на встречу, подавали заявку на общежитие, отвечали на опрос или пользовались другой формой на сайте факультета или подразделения, вы можете входить в охват.
Спросите в университете, какая ваша информация была похищена
Контакт — incident@yorku.ca (официальная страница). Университет сначала проверит вашу личность, а затем рассмотрит затронутую информацию. Ответы могут занять время из-за числа задействованных людей.
Если вы получите предложение кредитного мониторинга, зарегистрируйтесь по инструкции
Людям, у которых были раскрыты государственные удостоверения личности или данные финансовых счетов, предоставляются два года бесплатного кредитного мониторинга и защиты от кражи личных данных, предложение отправляется по электронной почте. Университет призывает подходящих людей зарегистрироваться, инструкции есть в этом сообщении. Если вы не уверены, что сообщение настоящее, перед открытием любой ссылки проверьте его по контакту на официальной странице (наше мнение).
Остерегайтесь сообщений, которые будто знают данные из ваших форм
Университет просит быть бдительными к подозрительным письмам, SMS и звонкам, особенно тем, которые просят личные данные или направляют на незнакомые сайты. Он говорит, что никогда не попросит пароли, номера социального страхования, банковские данные или полные номера кредитных карт. См. Что такое фишинг.
Проверьте свои финансовые счета, пароли и многофакторную аутентификацию
Университет рекомендует следить за финансовыми счетами на предмет необычной активности, использовать надёжные уникальные пароли и включать многофакторную аутентификацию там, где она доступна. Если вы заметите что-то подозрительное, незамедлительно свяжитесь со своим финансовым учреждением или поставщиком услуг; о подозрении на мошенничество можно также сообщить в Канадский центр по борьбе с мошенничеством и в университет (официальная страница).
Если могли быть затронуты чувствительные сведения, знайте, какие формы может принять злоупотребление
Сведения о здоровье, инвалидности, сексуальной ориентации и юридической или криминальной истории нельзя изменить, как пароль. Возможны угрозы или сообщения от тех, кто делает вид, что знает эти сведения (что может происходить в общем случае). Не вступайте в общение и обратитесь в контакт университета и в полицию.
Что произошло (из уведомления Йоркского университета)
Этот раздел основан на официальной странице университета «Cybersecurity Incident». Это собственный рассказ университета, он не проверялся третьей стороной. На странице не указана дата публикации.
25 октября 2026
Университет узнал об инциденте. Он быстро принял меры по его локализации и начал расследование при содействии внешних экспертов.Расследование
Доказательств того, что неуполномоченное лицо вышло за пределы затронутых систем или получило доступ к другим частям ИТ-среды университета, не найдено.Сообщения
Университет сообщил о нарушении конфиденциальности Уполномоченному по информации и конфиденциальности провинции Онтарио (IPC) и уведомил правоохранительные органы. Он ожидает, что IPC откроет дело.Уведомление
Университет начинает оповещать затронутых людей. На его странице перечислены сайты и виды затронутой информации (дата не указана).
- Что произошло
- Неуполномоченное лицо получило доступ к ограниченному числу онлайн-форм, которыми пользуются подразделения университета, и похитило отправленные через них персональные данные
- Кто затронут
- Люди, заполнявшие онлайн-формы на перечисленных сайтах с указанного года по октябрь 2026 года. Формы использовались для регистрации на встречи, заявок на общежитие, опросов и др. Не все виды данных относятся к каждому человеку, а большая часть похищенной информации была базовой, например York ID и контактные данные
- Число людей
- Не названо
- Дополнительно уведомляемые напрямую
- Небольшое число людей будет уведомлено напрямую. Те, у кого были раскрыты государственные удостоверения личности или данные финансовых счетов, получают два года бесплатного кредитного мониторинга и защиты от кражи личных данных (уведомление по электронной почте)
- Причина
- Расследование продолжается. В веб-формы внесены улучшения защиты в ответ на инцидент до дальнейшего рассмотрения
- Сообщения
- Сообщено IPC провинции Онтарио и правоохранительным органам
- Контакт
- incident@yorku.ca (сначала проверяется личность, затем рассматривается затронутая информация)
14 сайтов и краткое описание похищенной информации
Год — начало периода для этого сайта; каждый период идёт до октября 2026 года. В таблице выделены только основные чувствительные пункты из официального списка, составленные этим сайтом. Полный список пунктов есть на официальной странице, и в рамках одного сайта не все пункты относятся к каждому человеку.
| Сайт | С | Сведения о здоровье | Финансовое положение | Юридическая или криминальная история | Сексуальная ориентация |
|---|---|---|---|---|---|
| Centre for Refugee Studies | 2019 | Не указано | Указано | Указано | Не указано |
| Department of Psychology | 2016 | Указано | Не указано | Не указано | Указано |
| Division of Students | 2019 | Указано | Указано | Указано | Указано |
| Faculty of Environmental and Urban Change | 2007 | Указано | Указано | Указано | Не указано |
| Faculty of Graduate Studies | 2013 | Указано | Указано | Указано | Указано |
| Faculty of Liberal Arts and Professional Studies | 2013 | Указано | Указано | Указано | Указано |
| Faculty of Science | 2014 | Указано | Указано | Не указано | Указано |
| Glendon Housing | 2017 | Указано | Не указано | Не указано | Не указано |
| Housing and Conference Services | 2015 | Не указано | Не указано | Не указано | Не указано |
| Lassonde School of Engineering | 2020 | Указано | Не указано | Не указано | Указано |
| Research and Innovation | 2018 | Не указано | Указано | Не указано | Указано |
| Schulich School of Business | 2016 | Указано | Указано | Указано | Не указано |
| University Secretariat | 2015 | Не указано | Не указано | Не указано | Не указано |
| Vice-Provost Academic | 2022 | Не указано | Не указано | Не указано | Не указано |
«Указано» означает, что пункт есть в списке похищенной информации для этого сайта. Каждый сайт указывает номер York ID, адрес электронной почты, номер телефона, почтовый адрес, сведения об образовании, трудовую историю и контакт родственника или третьего лица. Университет поясняет, что «сведения о здоровье» могут включать клиническую информацию, такую как диагноз и лечение, «финансовое положение» — доходы и долги, а «юридическая или криминальная история» может просто означать, что у человека нет записей или санкций.
Что известно и что пока нет
Состояние на 12 ноября 2026 года. Мы обновим столбец статуса, когда будет опубликовано больше.
| Пункт | Содержание | Статус |
|---|---|---|
| Данные онлайн-форм на 14 сайтах | Похищены | Подтверждено (университетом) |
| Номер York ID, контактные данные, сведения об образовании и трудовой истории | Большая часть похищенной информации | Подтверждено (университетом) |
| Дата рождения, пол, гражданство, раса и этническая принадлежность, религия, сексуальная ориентация, изображения | Входят в зависимости от сайта | Подтверждено (университетом) |
| Сведения о здоровье, инвалидности, финансовое положение, юридическая или криминальная история, статус вакцинации | Входят в зависимости от сайта | Подтверждено (университетом) |
| Государственные удостоверения личности и данные финансовых счетов | Раскрыты у небольшого числа людей, которых уведомляют напрямую | Подтверждено (университетом) |
| Распространение на другие ИТ-системы | Доказательств не найдено | Не подтверждено (университетом) |
| Число затронутых людей | Не названо | Не указано |
| Причина | Расследование продолжается | Расследуется |
| Дата уведомления | На странице не указана | Не указано |
| Рассмотрение IPC | Ожидается открытие дела | Расследуется |
Как читать: таблицы по сайтам перечисляют возможные пункты, а не обязательно ваши
Официальный список показывает, какая информация была похищена о каждой группе, а не разбивку для отдельного человека. Чтобы узнать, что было взято о вас, нужно спросить университет. Вывод об отсутствии доказательств распространения на другие ИТ-системы получен собственным расследованием университета, и проверка третьей стороной не опубликована.
Что может произойти, когда похищают данные форм
Ниже то, что в общем случае может происходить, а не утверждение, что здесь что-то из этого произошло. То, что произошло по словам университета, ограничено разделом «Что произошло» выше.
Номер York ID, контактные данные, адрес, а также сведения об образовании и трудовой истории позволяют составить убедительные сообщения, будто бы от университета. Если добавить дату рождения или контакт родственника, сообщение, изображающее проверку вашей личности, может выглядеть настоящим. Чувствительные сведения, такие как здоровье, инвалидность, сексуальная ориентация и юридическая или криминальная история, нельзя изменить, и их можно использовать для угроз или травли. Там, где затронуты государственные удостоверения личности или данные финансовых счетов, опасения вызывают злоупотребления вроде открытия счетов или оформления кредитов. Университет говорит, что большая часть похищенной информации не относится к тому типу, который связан с повышенным риском мошенничества с личными данными.
Что стоит пересмотреть университетам и другим операторам
Этот раздел не оценивает действия университета и не гадает о технических подробностях. Причина не опубликована, поэтому он ограничивается тем, что следует из раскрытых фактов, как наше мнение.
Не храните старые данные форм долго
Самый ранний год начала — 2007, поэтому в охвате данные примерно за двадцать лет (наше мнение). Установите срок хранения для каждой формы и удаляйте данные форм по завершении цели или храните только агрегированные значения.
Не собирайте чувствительные поля, которые вам не нужны
Формы служили разным целям, например регистрации на встречи и заявкам на общежитие, а некоторые сайты собирали сведения о здоровье, финансах, юридической или криминальной истории и сексуальной ориентации. Для каждой формы проверьте, действительно ли это нужно для её цели, и уберите ненужные поля. Данные, которые не собраны, нельзя похитить (наше мнение).
Составьте перечень форм подразделений
Охват здесь был распределён по 14 сайтам факультетов и подразделений. Формы, которые ведутся распределённо, затрудняют понимание владельцев и мест хранения. Фиксируйте, какое подразделение ведёт какую форму и где она хранится (наше мнение).
Отделите хранилище форм от других сред
Университет говорит, что не нашёл доказательств распространения на другие ИТ-системы. Держите хранилище форм отдельно от систем студентов и сотрудников по аутентификации и сети, чтобы взлом не распространялся (наше мнение).
Умейте сказать каждому человеку, что было взято о нём
Университет говорит, что после проверки личности сообщит людям, какая информация была затронута. При большом числе людей ответы занимают время, поэтому хранение данных форм в виде, пригодном для поиска по человеку, улучшает оповещение (наше мнение).
Источники (публичные сведения)
Факты в этой статье взяты из следующей публичной информации. Подробности шагов атаки не рассматриваются.
- York University, «Cybersecurity Incident» (официальная страница; проверено 12 ноября 2026) — yorku.ca
История обновлений
2026-11-12: Первая версия. Основана на официальной странице Йоркского университета. Дата уведомления и число затронутых людей на странице не указаны. Мы обновим статью, когда будет опубликовано больше.
Читайте далее
- Утечка в сфере образования: Утечка данных студентов ETS (тестирование в масштабах Калифорнии)
- Как распознавать поддельные сообщения: Что такое фишинг
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года