适用对象：从2007至2022年间某个起始年份到2026年10月，在约克大学（加拿大）14个学院和部门网站中任何一个上填写过在线表单（会议报名、宿舍申请、问卷调查等）的人。本文基于大学的官方通知进行说明，不涉及攻击步骤。
事件仍在发展：本文将随机构发布更多信息而更新
- 适用对象
从2007至2022年间某个起始年份到2026年10月，在约克大学（加拿大）14个学院和部门网站中任何一个上填写过在线表单（会议报名、宿舍申请、问卷调查等）的人。
- 已确认的影响范围查看表格 ↓
- 14个网站上在线表单的提交内容
- 约克ID号、联系方式、学业和工作经历
- 出生日期、性别、国籍、种族和族裔、宗教、性取向、图像
另外2项
- 健康信息、残障、财务状况、法律或犯罪背景、疫苗接种情况
- 政府身份证件和金融账户信息
- 尚未确认的事项
- 受影响人数（未说明）
- 原因（大学称调查仍在继续）
- 通知的日期（页面上未显示）
另外1项
- IPC审查的结果（大学预计其将立案）
- 现在要做的事查看步骤 ↓
- 核对14个网站和年份，判断您是否在范围之内
- 向大学询问您的哪些信息被拿走
- 如果收到信用监控的邀请，请按说明注册
另外3项
- 警惕看似了解您表单细节的消息
- 检查您的金融账户、密码和多因素验证
- 如果可能涉及敏感信息，请了解滥用可能采取的形式
- 最后核实
- 截至2026年11月12日
续报计划与核实记录
大学表示，将视情况在其页面上发布进一步信息。本站于2026年11月12日查看时，该页面未显示带日期的更新。
可能受影响的人今天应该做什么
核对14个网站和年份，判断您是否在范围之内
大学表示，从下表所示年份到2026年10月，在表中网站上填写过在线表单的人受到影响，其通知即视为通知本人。如果您记得曾在学院或部门网站上报名会议、申请宿舍、回答问卷或使用其他表单，您可能在范围之内。
向大学询问您的哪些信息被拿走
联系方式是incident@yorku.ca（官方页面）。大学会先核实您的身份，然后审查受影响的信息。由于涉及人数众多，回复可能需要一些时间。
如果收到信用监控的邀请，请按说明注册
政府身份证件或金融账户信息被暴露的人将获得两年免费的信用监控和身份盗用保护，邀请会通过电子邮件发送。大学鼓励符合条件的人注册，说明在该邮件中。如果您不确定该邮件是否真实，请在打开任何链接之前，通过官方页面上的联系方式核实（我们的看法）。
警惕看似了解您表单细节的消息
大学请您对可疑的电子邮件、短信和电话保持警惕，尤其是那些索要个人信息或把您引向陌生网站的。大学表示，绝不会索要密码、社会保险号、银行信息或完整信用卡号。参见什么是网络钓鱼。
检查您的金融账户、密码和多因素验证
大学建议监控金融账户有无异常活动，使用强而唯一的密码，并在可用时开启多因素验证。如果发现任何可疑情况，请及时联系您的金融机构或服务提供商；疑似欺诈也可以向加拿大反欺诈中心和大学报告（官方页面）。
如果可能涉及敏感信息，请了解滥用可能采取的形式
健康、残障、性取向以及法律或犯罪背景等信息，不能像密码那样更改。可能出现假装知道这些细节的人发来的威胁或消息（通常可能发生的情况）。不要理会，并咨询大学的联系人和警方。
事件经过（来自约克大学的通知）
本节基于大学的官方页面「Cybersecurity Incident」。这是大学自己的说法，尚未经第三方核实。该页面没有显示发布日期。
2026年10月25日
大学得知此事件。大学迅速采取行动加以遏制，并在外部专家的协助下展开调查。调查
未发现证据表明未经授权者越出了受影响的系统，或访问了大学IT环境的其他部分。报告
大学已向安大略省信息和隐私专员（IPC）报告了此隐私泄露，并通知了执法部门。大学预计IPC将立案。通知
大学开始通知受影响的人。其页面列出了涉及的网站和信息类型（日期未显示）。
- 发生了什么
- 有未经授权者访问了大学各部门使用的部分在线表单，并拿走了通过这些表单提交的个人信息
- 谁受到影响
- 从标明的年份到2026年10月，在所列网站上填写过在线表单的人。这些表单用于会议报名、宿舍申请、问卷调查等。并非每种数据类型都适用于每个人，大部分被窃信息是基本信息，例如约克ID号和联系方式
- 人数
- 未说明
- 另行直接通知的个人
- 少数人将被直接通知。政府身份证件或金融账户信息被暴露者可获得两年免费的信用监控和身份盗用保护（通过电子邮件通知）
- 原因
- 调查仍在继续。已针对网页表单作出应对性的安全改进，有待进一步考虑
- 报告
- 已向安大略省IPC和执法部门报告
- 联系方式
- incident@yorku.ca（先核实身份，然后审查受影响的信息）
14个网站及被窃信息概要
年份是该网站时间段的起点；每个时间段都持续到2026年10月。该表仅从官方清单中挑出主要的敏感项目，由本站整理。完整的项目清单见官方页面，且在同一个网站内，并非每个项目都适用于每个人。
| 网站 | 起始年份 | 健康信息 | 财务状况 | 法律或犯罪背景 | 性取向 |
|---|---|---|---|---|---|
| Centre for Refugee Studies | 2019 | 未列出 | 已列出 | 已列出 | 未列出 |
| Department of Psychology | 2016 | 已列出 | 未列出 | 未列出 | 已列出 |
| Division of Students | 2019 | 已列出 | 已列出 | 已列出 | 已列出 |
| Faculty of Environmental and Urban Change | 2007 | 已列出 | 已列出 | 已列出 | 未列出 |
| Faculty of Graduate Studies | 2013 | 已列出 | 已列出 | 已列出 | 已列出 |
| Faculty of Liberal Arts and Professional Studies | 2013 | 已列出 | 已列出 | 已列出 | 已列出 |
| Faculty of Science | 2014 | 已列出 | 已列出 | 未列出 | 已列出 |
| Glendon Housing | 2017 | 已列出 | 未列出 | 未列出 | 未列出 |
| Housing and Conference Services | 2015 | 未列出 | 未列出 | 未列出 | 未列出 |
| Lassonde School of Engineering | 2020 | 已列出 | 未列出 | 未列出 | 已列出 |
| Research and Innovation | 2018 | 未列出 | 已列出 | 未列出 | 已列出 |
| Schulich School of Business | 2016 | 已列出 | 已列出 | 已列出 | 未列出 |
| University Secretariat | 2015 | 未列出 | 未列出 | 未列出 | 未列出 |
| Vice-Provost Academic | 2022 | 未列出 | 未列出 | 未列出 | 未列出 |
「已列出」表示该项目出现在该网站的被窃信息清单中。每个网站都列有约克ID号、电子邮件地址、电话号码、街道地址、学业经历、工作经历以及家人或第三方联系人。大学解释说，「健康信息」可能包括诊断和治疗等临床信息，「财务状况」可能包括收入和债务，而「法律或犯罪背景」可能只是表明某人没有记录或处分。
已知与未知的信息
截至2026年11月12日的情况。有更多信息发布时，我们将更新状态栏。
| 项目 | 内容 | 状态 |
|---|---|---|
| 14个网站上在线表单的提交内容 | 被窃 | 已确认（大学） |
| 约克ID号、联系方式、学业和工作经历 | 大部分被窃信息 | 已确认（大学） |
| 出生日期、性别、国籍、种族和族裔、宗教、性取向、图像 | 视网站而定包含 | 已确认（大学） |
| 健康信息、残障、财务状况、法律或犯罪背景、疫苗接种情况 | 视网站而定包含 | 已确认（大学） |
| 政府身份证件和金融账户信息 | 少数人被暴露，他们将被直接通知 | 已确认（大学） |
| 扩散到其他IT系统 | 未发现证据 | 未确认（大学） |
| 受影响人数 | 未说明 | 未说明 |
| 原因 | 调查仍在继续 | 调查中 |
| 通知的日期 | 页面上未显示 | 未说明 |
| IPC审查 | 预计将立案 | 调查中 |
如何解读：网站表格列出的是可能的项目，不一定是您的
官方清单显示的是每个群体被窃的信息，而不是针对个人的明细。要知道有哪些关于您的信息被拿走，您需要询问大学。关于没有证据表明扩散到其他IT系统的结论来自大学自己的调查，尚未公布第三方核实。
表单提交内容被窃时可能发生什么
以下是通常可能发生的情况，并不是说这里发生了其中任何一件事。大学称已发生的内容，仅限于上文「事件经过」。
约克ID号、联系方式、地址以及学业或工作经历，使得编造看似来自大学的逼真消息成为可能。再加上出生日期或家人联系人，假装核实身份的消息就可能显得真实。健康、残障、性取向以及法律或犯罪背景等敏感信息无法更改，可被用于威胁或骚扰。涉及政府身份证件或金融账户信息时，令人担心的是开设账户或申请信贷等滥用行为。大学表示，大部分被窃信息不属于与身份欺诈风险升高相关的类型。
大学及其他运营者应复查什么
本节不评价大学的应对，也不推测技术细节。原因尚未公布，因此仅限于根据已披露事实可以得出的内容，属于我们的看法。
不要长期保存旧的提交内容
最早的起始年份是2007年，所以涉及的提交内容最长可达约二十年（我们的看法）。请为每个表单设定保存期限，并在目的达成后删除提交内容，或只保留汇总数据。
不要收集您不需要的敏感字段
这些表单服务于许多用途，例如会议报名和宿舍申请，一些网站收集了健康、财务、法律或犯罪以及性取向方面的项目。请针对每个表单审查其用途是否真的需要这些，并删除不需要的字段。没有收集的数据就无法被窃取（我们的看法）。
对各部门的表单进行盘点
此次范围分散在14个学院和部门网站上。分散运行的表单使负责人和存储位置难以看清。请记录哪个部门运行哪个表单，以及存放在何处（我们的看法）。
把表单的存储位置与其他环境分开
大学表示未发现扩散到其他IT系统的证据。让表单存储在认证和网络上与学生和教职员工系统保持分离，这样一旦被入侵也不会扩散（我们的看法）。
能够告诉每个人有哪些关于他们的信息被拿走
大学表示，在核实身份后，将告知人们哪些信息受到影响。涉及人数众多时，回复需要时间，因此以可按人查询的形式存储提交内容，有助于更好地通知（我们的看法）。
信息来源（公开记录）
本文事实来自以下公开信息。攻击步骤的细节不在本文涉及范围内。
- York University，「Cybersecurity Incident」（官方页面；2026年11月12日查阅）— yorku.ca
更新记录
2026-11-12：首版。基于约克大学的官方页面。页面上未显示通知的日期和受影响人数。有更多信息发布时我们将更新。
延伸阅读
- 教育领域的泄露事件：ETS（加利福尼亚州统一考试）学生数据泄露
- 识别假消息：什么是网络钓鱼
- 2026年的其他事件：2026年的数据泄露与网络攻击