适用对象：慕尼黑大学（慕尼黑路德维希-马克西米利安大学）的在读和以往学生，包括以往交换学生和申请人，以及长期保存学生或成员数据的任何人。本文基于LMU的官方通告编写，不涉及攻击或诈骗手法。
学生和校友今天应该做什么
判断自己是否可能受影响——校友、交换学生和申请人都在其中
LMU表示，其招生系统中的全部数据集均受影响，涵盖约50年。这包括在读学生、毕业生、未获学位即离校的人员，以及仅提出过申请的人员。
如果您曾作为国际学生或交换学生在LMU学习（包括来自日本的学生），且当时在该系统中注册过，您可能受到影响。截至2026年10月3日，LMU尚未开始单独通知，因此您无需等待信件，即可采取下述措施。
如果您在2005年或之后向LMU提供过银行账户，请检查对账单
LMU表示，2005年及以后的记录中包含银行信息（IBAN和账户持有人姓名）。如果您曾向LMU提供德国或欧盟账户用于缴费或退款，请检查该账户中是否有您不认识的直接扣款。
如果该账户属于父母或其他人，也请告知他们。如果您离开德国时已关闭该账户，则无法从中扣款；如果您不确定是否已关闭，请向银行咨询。
要求银行撤销您不认识的任何直接扣款
SEPA直接借记（欧盟范围内的银行扣款方案）可在扣款日期起8周内应要求退款，无需说明理由。您从未授权的扣款最长可在13个月内撤销。
如果发现此类扣款，请通过您自己的银行应用或网点办理。如果您收到不认识的合同或付款通知，也请联系相应公司。
不要打开声称来自LMU、医疗保险公司或BAföG办公室的电子邮件中的链接
可能泄露的数据包括您的姓名、地址和电子邮件地址，以及注册信息、医疗保险号码和BAföG（德国国家学生资助）号码。诈骗者利用这些信息，可以写出非常逼真的消息。
LMU还建议，即使邮件看似是专门发给您的，也不要在未仔细核实的情况下打开附件或链接，并且不要透露银行信息或密码。如果您收到关于“退款”或“需要重新注册”的消息，请自行打开LMU官方网站进行核实（参见什么是网络钓鱼？）。
您无需更改LMU密码
LMU表示，密码未受影响，大学账户是安全的。但如果您在其他服务上使用相同的密码，现在正是停止重复使用的好时机（如何选择密码管理器）。
发生了什么（来自LMU的通告）
LMU于2026年9月19日发布了首份通告，并于9月28日发布了更新和修订后的常见问题解答。以下内容均取自LMU的官方通告。
2026年9月16日
LMU发现该事件。未经授权的人员访问了一个保存学籍基础数据的IT系统。9月19日
首份通告。LMU表示必须假定数据已被获取，并称巴伐利亚州刑事警察局（LKA）和调查机关已介入。9月22日
注册重新开放。9月28日
更新。范围为约60万条记录，跨度约50年。目前没有发现数据被公布或滥用的迹象；LMU继续密切监测暗网（用于非法交易、普通搜索引擎无法显示的网站）。9月30日
课程管理系统（LSF）开始分阶段重新开放。
- 范围
- 招生系统中的全部数据集：约50年间的在读和以往学生，约60万条记录。系统中处理过数据的申请人及其他人员可能包括在内
- 身份信息
- 姓名、出生日期、性别，部分情况下包括出生地或出生国
- 联系方式
- 地址、电话号码、电子邮件地址
- 银行信息
- IBAN和账户持有人姓名（2005年及以后的记录；2005年之前未收集）
- 号码
- 医疗保险号码、BAföG（国家学生资助）号码（如适用）
- 学习经历
- 既往学历、所学专业、休学原因。休学原因可能包括欧盟《通用数据保护条例》（GDPR）第9条所定义的特殊类别个人数据，例如健康信息
- 各年份的差异
- 截至1994年（含）的记录仅包含基础数据和学期历史。2005年及以后的记录包含更多信息
- 未受影响
- 密码、考试信息、成绩、课程内容和个人学业表现
- 原因
- 未披露。LMU关闭了受影响的系统，保护了数据，并正与外部专家共同调查
- 主管机关
- 巴伐利亚州刑事警察局（LKA）正在调查。相关监管和执法机构已获告知
如何理解：“未发现公布迹象”不等于安全
LMU表示，目前尚未发现数据被公布或滥用的迹象。这意味着尚未发现任何情况，并不意味着数据永远不会被使用。
除非您更改，否则您的IBAN、姓名和地址多年来都保持不变。不要只检查一次对账单；请坚持检查数月。
1994年及以前的记录
仅包含基础数据和学期历史
1995至2004年的记录
不含银行信息（LMU在2005年之前未收集）
2005年及以后的记录
字段更多，包括IBAN和账户持有人
↓ 应该怎么做
无论记录年代
不要打开声称来自LMU、医疗保险公司或学生资助机构的电子邮件中的链接。消息中包含姓名或号码并不能证明其真实
如果您在2005年或之后向LMU提供过银行账户
请坚持检查对账单数月。您不认识的直接扣款可在8周内无理由退款；您从未授权的扣款可在13个月内撤销
泄露的IBAN可能被用于什么
| 泄露的数据 | 可能的滥用方式 | 应该怎么做 |
|---|---|---|
| IBAN + 姓名 + 地址 | 以您的名义设置直接扣款（例如网购） | 检查对账单；请银行撤销您不认识的扣款 |
| 姓名 + 电子邮件 + 注册信息 | 伪装成LMU的诈骗邮件 | 不要打开链接；自行打开官方网站 |
| 医疗保险或BAföG号码 | 伪装成保险公司或学生资助办公室的消息 | 不要因为号码正确就认为消息是真实的 |
仅凭IBAN无法让任何人登录您的网上银行，也无法从您的账户转走资金。在荷兰Odido的案例中，荷兰银行协会也表示，大多数人无需更换账户（参见Odido数据泄露事件）。
然而，SEPA直接借记是由收款公司基于账户持有人的委托书（授权）发起的，银行不会每次都核实该委托书。因此，发现并撤销不认识的扣款是账户持有人能做的最可靠的事情。
本站观点：已回国的以往交换学生最不容易察觉
已回国的以往国际学生有时会保留其德国账户，却很少查看对账单。如果系统中登记的是德国的旧地址，银行或代收公司的信件也无法送达。
如果您不确定是否已关闭某个账户，请向银行咨询；如果您已不再使用，可以考虑关闭。未经授权扣款的撤销期限为13个月，这意味着不看对账单才是真正的风险。
面向长期保存学生或成员数据的机构
所涉数据涵盖约50年的学生和校友记录。大学确实需要长期保存一些记录，例如注册证明和学位证明。然而，银行信息和医疗保险号码是为注册手续而收集的。LMU尚未说明其保留这些信息的原因。
考虑到这一点，任何保存学生或成员数据的机构都可以审视以下三个通用事项。
将需要长期保存的记录与仅用于某一手续的数据分开
学位证明需要姓名、出生日期、注册期限和学位。银行信息和保险号码在注册手续完成后通常已不再需要。对于每个字段，请检查是否有法律或法规要求保留，或者是否根本没有删除流程。
为毕业生和以往成员的银行信息设定删除日期
《通用数据保护条例》（GDPR）第5条第1款第（e）项要求，个人数据的保存时间不得超过实现处理目的所必需的期限（存储限制原则）。
毕业生或以往成员的银行信息在日常工作中并不使用，但在发生泄露时仍会暴露。应设定保留期限，并在期限届满时自动删除。人工删除难以长期坚持。
将旧记录迁出日常手续所用的系统
如果每年都有大量人员使用的系统（例如招生系统）同时保存着数十年的旧记录，该系统一旦泄露，所有记录都会暴露。应将校友记录迁移到独立存储并设置单独的访问权限，使日常系统无法直接读取。参见机构安全基线。
其他教育行业案例：Canvas（Instructure）数据泄露（学习管理系统），以及Mathspace数据泄露（学习平台）。
信息来源（公开记录）
本文事实基于以下公开信息。我们不对未披露的入侵方法或原因进行推测。
- LMU，《关于数据保护事件的信息》（2026年9月19日）——lmu.de
- LMU，《数据保护事件更新》（2026年9月28日）——lmu.de
- LMU，《关于数据安全事件的问题》（常见问题解答，2026年9月28日更新）——lmu.de（英文） / lmu.de（德文）
- 欧盟委员会，Your Europe，《支付、转账和支票》（直接扣款8周退款）——europa.eu
- Stiftung Warentest，《撤销直接扣款》（有委托书8周，无委托书13个月）——test.de
- 指令（欧盟）2015/2366（PSD2），第71条和第77条——EUR-Lex
- 条例（欧盟）2016/679（GDPR），第5条和第9条——EUR-Lex
更新历史
2026-10-03：首个版本，基于LMU于9月19日发布的首份通告以及9月28日的更新和常见问题解答。LMU的调查仍在进行中；如果其通知受影响人员或披露原因，我们将更新本文。
延伸阅读
- 美国的教育行业案例：佛罗里达州教育部（约490万人，社会安全号码） / Frontline Education（学校软件，社会安全号码和Medicaid编号）
- 防范后续诈骗：什么是网络钓鱼？ / 虚假病毒警告（技术支持诈骗）
- 另一起IBAN泄露案例：Odido（荷兰，IBAN和身份证号码）
- 教育行业案例：Canvas（Instructure） / Mathspace（澳大利亚和新西兰）
- 其他2026年案例：2026年的数据泄露和网络攻击
- 面向运营者：机构安全基线