適用對象：慕尼黑路德維希－馬克西米利安大學（LMU）的現任與前任學生，包括前交換生與申請者，以及長期保存學生或成員資料的任何人。本文根據 LMU 的官方公告 撰寫，不涵蓋攻擊或詐騙手法。
學生與校友今天應該做什麼
確認你是否可能受影響——校友、交換生與申請者也算在內
LMU 表示，其招生系統中的整體資料集都受影響，涵蓋約 50 年。這包括現任學生、畢業生、未取得學位就離開的人，以及只提出申請的人。
如果你曾以國際生或交換生身分在 LMU 就讀，包括來自日本的學生，只要你曾在該系統中註冊，就可能受影響。截至 2026 年 10 月 3 日，LMU 尚未開始個別通知，因此你不需要等待通知信，就可以先採取下列步驟。
如果你在 2005 年或之後向 LMU 提供過銀行帳戶，請檢查對帳單
LMU 表示，2005 年起的紀錄包含銀行資料（IBAN 與帳戶持有人姓名）。如果你曾向 LMU 提供德國或歐盟帳戶，用於繳費或退款，請檢查該帳戶是否有你不認識的直接扣款。
如果該帳戶屬於父母或其他人，也請告知他們。如果你離開德國時已結清帳戶，就不會有扣款從中發生；如果不確定是否已結清，請詢問銀行。
請銀行撤銷任何你不認識的直接扣款
SEPA 直接扣款（歐盟通行的銀行扣款機制）可在扣款日起 8 週內，不需說明理由，應要求退還。你從未授權的扣款，最長可在 13 個月內撤銷。
如果發現此類扣款，請透過你自己銀行的應用程式或分行辦理。如果你收到不認識的合約或付款要求，也請聯絡該公司。
不要開啟聲稱來自 LMU、健康保險公司或 BAföG 辦公室的電子郵件連結
可能外洩的資料包括你的姓名、地址和電子郵件地址，以及註冊資訊、健康保險號碼和 BAföG（德國國家學生助學金）號碼。有了這些資料，詐騙者就能寫出非常逼真的訊息。
LMU 也建議，即使郵件看似是專門寄給你的，也不要在未仔細核對前開啟附件或連結，並且不要透露銀行資料或密碼。如果你收到關於「退款」或「必須重新註冊」的訊息，請自行開啟 LMU 官方網站核對（參見什麼是網路釣魚？）。
你不需要更改 LMU 密碼
LMU 表示密碼未受影響，大學帳號仍然安全。不過，如果你在其他服務上使用相同密碼，現在正是停止重複使用的好時機（如何選擇密碼管理工具）。
發生了什麼（根據 LMU 的公告）
LMU 於 2026 年 9 月 19 日發布第一則公告，並於 9 月 28 日發布更新與修訂後的常見問題。以下內容均取自 LMU 的官方公告。
2026 年 9 月 16 日
LMU 確認事件。未經授權的行為者存取了一套儲存學生註冊基本資料的資訊系統。9 月 19 日
第一則公告。LMU 表示必須假設資料已被取走，巴伐利亞州刑事警察局（LKA）及調查機關已介入。9 月 22 日
註冊系統重新開放。9 月 28 日
更新。範圍為約 60 萬筆紀錄，涵蓋約 50 年。目前尚無公開或遭濫用的跡象；LMU 持續密切監控暗網（用於非法交易、一般搜尋引擎無法顯示的網站）。9 月 30 日
課程管理系統（LSF）開始分階段重新開放。
- 範圍
- 招生系統中的整體資料集：約 50 年間的現任與前任學生，約 60 萬筆紀錄。申請者及其他資料曾在該系統中處理的人可能包括在內
- 身分資料
- 姓名、出生日期、性別，部分含出生地或出生國
- 聯絡資料
- 地址、電話號碼、電子郵件地址
- 銀行資料
- IBAN 與帳戶持有人姓名（2005 年起的紀錄；2005 年以前未收集）
- 號碼
- 健康保險號碼、BAföG（國家學生助學金）號碼，視情況而定
- 學習紀錄
- 先前學歷、就讀科系、休學原因。休學原因可能包含歐盟《一般資料保護規範》（GDPR）第 9 條所定的特殊類別個人資料，例如健康資訊
- 各年份差異
- 1994 年（含）以前的紀錄只包含基本資料與學期歷程。2005 年起的紀錄包含更多資料
- 未受影響
- 密碼、考試資訊、成績、課程內容與個人學習表現
- 原因
- 尚未公開。LMU 關閉受影響的系統，保全資料，並與外部專家共同調查
- 主管機關
- 巴伐利亞州刑事警察局（LKA）正在調查。相關監督機關與執法機關已獲通知
如何理解：「未見公開跡象」不等於安全
LMU 表示，目前尚未發現資料已被公開或遭濫用的跡象。這代表目前尚未發現，並不代表資料永遠不會被使用。
你的 IBAN、姓名與地址，除非你自行更改，否則多年來都會維持不變。不要只檢查一次對帳單；請持續檢查數個月。
1994 年以前的紀錄
僅有基本資料與學期歷程
1995 至 2004 年的紀錄
無銀行資料（LMU 在 2005 年以前未收集）
2005 年起的紀錄
欄位較多，包括 IBAN 與帳戶持有人
↓ 應該怎麼做
無論紀錄的年份
不要開啟聲稱來自 LMU、健康保險公司或學生助學單位的郵件連結。訊息中出現姓名或號碼，並不能證明它是真的
如果你在 2005 年或之後向 LMU 提供過銀行帳戶
請持續檢查對帳單數個月。不認識的直接扣款可在 8 週內無需說明理由退還；你從未授權的扣款則可在 13 個月內辦理
外洩的 IBAN 可能被用來做什麼
| 外洩資料 | 可能的濫用方式 | 應該怎麼做 |
|---|---|---|
| IBAN + 姓名 + 地址 | 以你的名義設立直接扣款（例如網路購物） | 檢查對帳單；請銀行撤銷不認識的扣款 |
| 姓名 + 電子郵件 + 註冊資訊 | 聲稱來自 LMU 的逼真郵件 | 不要開啟連結；自行開啟官方網站 |
| 健康保險或 BAföG 號碼 | 聲稱來自保險公司或學生助學單位的訊息 | 不要因為號碼正確，就認為訊息是真的 |
單靠 IBAN 無法讓人登入你的網路銀行，也無法把你帳戶中的錢轉走。在荷蘭的 Odido 事件中，荷蘭銀行協會也表示，多數人不需要更換帳戶（參見Odido 資料外洩事件）。
不過，SEPA 直接扣款是由收款的公司依據帳戶持有人的授權（委任書）發起，銀行並不會每次都核對該授權。因此，發現並撤銷不認識的扣款，是帳戶持有人最可靠的做法。
本站的看法：已返國的前交換生最不容易察覺
已返回母國的前國際生有時會保留在德國的帳戶，卻很少查看對帳單。如果系統中的地址是德國的舊地址，銀行或收款公司的信件也不會寄到他們手上。
如果你不確定是否已結清帳戶，請詢問銀行；若已不再使用，可以考慮結清。未經授權扣款的撤銷期限為 13 個月，因此不看對帳單才是真正的風險。
給長期保存學生或成員資料的機構
此次涉及的資料涵蓋約 50 年的學生與校友紀錄。大學確實需要長期保存某些紀錄，例如在學證明與學位證明。然而，銀行資料與健康保險號碼是為了辦理註冊手續而收集的。LMU 尚未說明為何保留這些資料。
有鑑於此，任何保存學生或成員資料的機構，都可以檢視以下三項一般性事項。
將必須長期保存的紀錄，與僅為特定手續所需的資料分開
學位證明需要姓名、出生日期、就學期間與學位。銀行資料與保險號碼在註冊手續完成後通常不再需要。針對每個欄位，請確認是否有法律或法規要求保存，或者根本沒有刪除的流程。
為畢業生與前成員的銀行資料設定刪除期限
GDPR 第 5 條第 1 項第 (e) 款規定，個人資料保存形式可識別當事人的期間，不得超過處理目的所需的期間（儲存限制原則）。
畢業生或前成員的銀行資料在日常工作中不會使用，但在資料外洩時仍會暴露。請設定保存期限，並期限屆滿時自動刪除。人工刪除無法持久。
將舊紀錄移出日常作業使用的系統
如果每年有很多人使用的系統（例如招生系統）也保存了數十年的舊紀錄，該系統一旦外洩，所有紀錄都會暴露。請將校友紀錄移至另一個獨立儲存空間，並設定獨立的存取權限，使日常系統無法直接讀取。參見機構的安全基準。
其他教育領域的案例：Canvas（Instructure）資料外洩事件（學習管理系統），以及Mathspace 資料外洩事件（學習平台）。
資料來源（公開紀錄）
本文事實根據以下公開資訊。我們不對未公開的入侵方式或原因進行推測。
- LMU，〈Information über einen Datenschutzvorfall〉（2026 年 9 月 19 日）— lmu.de
- LMU，〈Update zum Datenschutzvorfall〉（2026 年 9 月 28 日）— lmu.de
- LMU，〈Questions about the data security incident〉（常見問題，2026 年 9 月 28 日更新）— lmu.de（英文） / lmu.de（德文）
- 歐洲委員會，Your Europe，〈Payments, transfers and cheques〉（直接扣款 8 週內可退款）— europa.eu
- Stiftung Warentest，〈Lastschrift zurückholen〉（有授權為 8 週，無授權為 13 個月）— test.de
- 指令（歐盟）2015/2366（PSD2），第 71 與 77 條 — EUR-Lex
- 規範（歐盟）2016/679（GDPR），第 5 與 9 條 — EUR-Lex
更新紀錄
2026-10-03：首次發布，依據 LMU 9 月 19 日的第一則公告，以及 9 月 28 日的更新與常見問題。LMU 的調查仍在進行中；若其通知受影響者或公布原因，我們將更新內容。
延伸閱讀
- 美國教育領域案例：佛羅里達州教育部（約 490 萬筆，社會安全號碼） / Frontline Education（學校軟體，社會安全號碼與 Medicaid 識別碼）
- 防範後續詐騙：什麼是網路釣魚？ / 假病毒警告（技術支援詐騙）
- 另一起 IBAN 外洩案例：Odido（荷蘭，IBAN 與身分證號碼）
- 教育領域案例：Canvas（Instructure） / Mathspace（澳洲與紐西蘭）
- 其他 2026 年案例：2026 年的資料外洩與網路攻擊
- 給營運者：機構的安全基準