適用對象：從2007至2022年間某個起始年份到2026年10月，在約克大學（加拿大）14個學院和部門網站中任何一個上填寫過線上表單（會議報名、宿舍申請、問卷調查等）的人。本文基於大學的官方通知進行說明，不涉及攻擊步驟。
事件仍在發展：本文將隨機構釋出更多資訊而更新
- 適用對象
從2007至2022年間某個起始年份到2026年10月，在約克大學（加拿大）14個學院和部門網站中任何一個上填寫過線上表單（會議報名、宿舍申請、問卷調查等）的人。
- 已確認的影響範圍查看表格 ↓
- 14個網站上線上表單的提交內容
- 約克ID號、聯絡方式、學業和工作經歷
- 出生日期、性別、國籍、種族和族裔、宗教、性取向、影象
另外2項
- 健康資訊、殘障、財務狀況、法律或犯罪背景、疫苗接種情況
- 政府身份證件和金融帳戶資訊
- 尚未確認的事項
- 受影響人數（未說明）
- 原因（大學稱調查仍在繼續）
- 通知的日期（頁面上未顯示）
另外1項
- IPC審查的結果（大學預計其將立案）
- 現在要做的事查看步驟 ↓
- 核對14個網站和年份，判斷您是否在範圍之內
- 向大學詢問您的哪些資訊被拿走
- 如果收到信用監控的邀請，請按說明註冊
另外3項
- 警惕看似瞭解您表單細節的訊息
- 檢查您的金融帳戶、密碼和多重要素驗證
- 如果可能涉及敏感資訊，請了解濫用可能採取的形式
- 最後查證
- 截至2026年11月12日
續報計畫與查證紀錄
大學表示，將視情況在其頁面上釋出進一步資訊。本站於2026年11月12日檢視時，該頁面未顯示帶日期的更新。
可能受影響的人今天應該做什麼
核對14個網站和年份，判斷您是否在範圍之內
大學表示，從下表所示年份到2026年10月，在表中網站上填寫過線上表單的人受到影響，其通知即視為通知本人。如果您記得曾在學院或部門網站上報名會議、申請宿舍、回答問卷或使用其他表單，您可能在範圍之內。
向大學詢問您的哪些資訊被拿走
聯絡方式是incident@yorku.ca（官方頁面）。大學會先核實您的身份，然後審查受影響的資訊。由於涉及人數眾多，回覆可能需要一些時間。
如果收到信用監控的邀請，請按說明註冊
政府身份證件或金融帳戶資訊被暴露的人將獲得兩年免費的信用監控和身份盜用保護，邀請會透過電子郵件傳送。大學鼓勵符合條件的人註冊，說明在該郵件中。如果您不確定該郵件是否真實，請在開啟任何連結之前，透過官方頁面上的聯絡方式核實（我們的看法）。
警惕看似瞭解您表單細節的訊息
大學請您對可疑的電子郵件、簡訊和電話保持警惕，尤其是那些索要個人資訊或把您引向陌生網站的。大學表示，絕不會索要密碼、社會保險號、銀行資訊或完整信用卡號。參見什麼是網路釣魚。
檢查您的金融帳戶、密碼和多重要素驗證
大學建議監控金融帳戶有無異常活動，使用強而唯一的密碼，並在可用時開啟多重要素驗證。如果發現任何可疑情況，請及時聯絡您的金融機構或服務提供商；疑似欺詐也可以向加拿大反欺詐中心和大學報告（官方頁面）。
如果可能涉及敏感資訊，請了解濫用可能採取的形式
健康、殘障、性取向以及法律或犯罪背景等資訊，不能像密碼那樣更改。可能出現假裝知道這些細節的人發來的威脅或訊息（通常可能發生的情況）。不要理會，並諮詢大學的聯絡人和警方。
事件經過（來自約克大學的通知）
本節基於大學的官方頁面「Cybersecurity Incident」。這是大學自己的說法，尚未經第三方核實。該頁面沒有顯示釋出日期。
2026年10月25日
大學得知此事件。大學迅速採取行動加以遏制，並在外部專家的協助下展開調查。調查
未發現證據表明未經授權者越出了受影響的系統，或存取了大學IT環境的其他部分。報告
大學已向安大略省資訊和隱私專員（IPC）報告了此隱私外洩，並通知了執法部門。大學預計IPC將立案。通知
大學開始通知受影響的人。其頁面列出了涉及的網站和資訊型別（日期未顯示）。
- 發生了什麼
- 有未經授權者存取了大學各部門使用的部分線上表單，並拿走了透過這些表單提交的個人資訊
- 誰受到影響
- 從標明的年份到2026年10月，在所列網站上填寫過線上表單的人。這些表單用於會議報名、宿舍申請、問卷調查等。並非每種資料型別都適用於每個人，大部分被竊資訊是基本資訊，例如約克ID號和聯絡方式
- 人數
- 未說明
- 另行直接通知的個人
- 少數人將被直接通知。政府身份證件或金融帳戶資訊被暴露者可獲得兩年免費的信用監控和身份盜用保護（透過電子郵件通知）
- 原因
- 調查仍在繼續。已針對網頁表單作出應對性的安全改進，有待進一步考慮
- 報告
- 已向安大略省IPC和執法部門報告
- 聯絡方式
- incident@yorku.ca（先核實身份，然後審查受影響的資訊）
14個網站及被竊資訊概要
年份是該網站時間段的起點；每個時間段都持續到2026年10月。該表僅從官方清單中挑出主要的敏感項目，由本站整理。完整的項目清單見官方頁面，且在同一個網站內，並非每個項目都適用於每個人。
| 網站 | 起始年份 | 健康資訊 | 財務狀況 | 法律或犯罪背景 | 性取向 |
|---|---|---|---|---|---|
| Centre for Refugee Studies | 2019 | 未列出 | 已列出 | 已列出 | 未列出 |
| Department of Psychology | 2016 | 已列出 | 未列出 | 未列出 | 已列出 |
| Division of Students | 2019 | 已列出 | 已列出 | 已列出 | 已列出 |
| Faculty of Environmental and Urban Change | 2007 | 已列出 | 已列出 | 已列出 | 未列出 |
| Faculty of Graduate Studies | 2013 | 已列出 | 已列出 | 已列出 | 已列出 |
| Faculty of Liberal Arts and Professional Studies | 2013 | 已列出 | 已列出 | 已列出 | 已列出 |
| Faculty of Science | 2014 | 已列出 | 已列出 | 未列出 | 已列出 |
| Glendon Housing | 2017 | 已列出 | 未列出 | 未列出 | 未列出 |
| Housing and Conference Services | 2015 | 未列出 | 未列出 | 未列出 | 未列出 |
| Lassonde School of Engineering | 2020 | 已列出 | 未列出 | 未列出 | 已列出 |
| Research and Innovation | 2018 | 未列出 | 已列出 | 未列出 | 已列出 |
| Schulich School of Business | 2016 | 已列出 | 已列出 | 已列出 | 未列出 |
| University Secretariat | 2015 | 未列出 | 未列出 | 未列出 | 未列出 |
| Vice-Provost Academic | 2022 | 未列出 | 未列出 | 未列出 | 未列出 |
「已列出」表示該項目出現在該網站的被竊資訊清單中。每個網站都列有約克ID號、電子郵件地址、電話號碼、街道地址、學業經歷、工作經歷以及家人或第三方聯絡人。大學解釋說，「健康資訊」可能包括診斷和治療等臨床資訊，「財務狀況」可能包括收入和債務，而「法律或犯罪背景」可能只是表明某人沒有記錄或處分。
已知與未知的資訊
截至2026年11月12日的情況。有更多資訊釋出時，我們將更新狀態列。
| 項目 | 內容 | 狀態 |
|---|---|---|
| 14個網站上線上表單的提交內容 | 被竊 | 已確認（大學） |
| 約克ID號、聯絡方式、學業和工作經歷 | 大部分被竊資訊 | 已確認（大學） |
| 出生日期、性別、國籍、種族和族裔、宗教、性取向、影象 | 視網站而定包含 | 已確認（大學） |
| 健康資訊、殘障、財務狀況、法律或犯罪背景、疫苗接種情況 | 視網站而定包含 | 已確認（大學） |
| 政府身份證件和金融帳戶資訊 | 少數人被暴露，他們將被直接通知 | 已確認（大學） |
| 擴散到其他IT系統 | 未發現證據 | 未確認（大學） |
| 受影響人數 | 未說明 | 未說明 |
| 原因 | 調查仍在繼續 | 調查中 |
| 通知的日期 | 頁面上未顯示 | 未說明 |
| IPC審查 | 預計將立案 | 調查中 |
如何解讀：網站表格列出的是可能的項目，不一定是您的
官方清單顯示的是每個群體被竊的資訊，而不是針對個人的明細。要知道有哪些關於您的資訊被拿走，您需要詢問大學。關於沒有證據表明擴散到其他IT系統的結論來自大學自己的調查，尚未公布第三方核實。
表單提交內容被竊時可能發生什麼
以下是通常可能發生的情況，並不是說這裡發生了其中任何一件事。大學稱已發生的內容，僅限於上文「事件經過」。
約克ID號、聯絡方式、地址以及學業或工作經歷，使得編造看似來自大學的逼真訊息成為可能。再加上出生日期或家人聯絡人，假裝核實身份的訊息就可能顯得真實。健康、殘障、性取向以及法律或犯罪背景等敏感資訊無法更改，可被用於威脅或騷擾。涉及政府身份證件或金融帳戶資訊時，令人擔心的是開設帳戶或申請信貸等濫用行為。大學表示，大部分被竊資訊不屬於與身份欺詐風險升高相關的型別。
大學及其他營運者應複查什麼
本節不評價大學的應對，也不推測技術細節。原因尚未公布，因此僅限於根據已披露事實可以得出的內容，屬於我們的看法。
不要長期儲存舊的提交內容
最早的起始年份是2007年，所以涉及的提交內容最長可達約二十年（我們的看法）。請為每個表單設定儲存期限，並在目的達成後刪除提交內容，或只保留彙總資料。
不要收集您不需要的敏感欄位
這些表單服務於許多用途，例如會議報名和宿舍申請，一些網站收集了健康、財務、法律或犯罪以及性取向方面的項目。請針對每個表單審查其用途是否真的需要這些，並刪除不需要的欄位。沒有收集的資料就無法被竊取（我們的看法）。
對各部門的表單進行盤點
此次範圍分散在14個學院和部門網站上。分散執行的表單使負責人和儲存位置難以看清。請記錄哪個部門執行哪個表單，以及存放在何處（我們的看法）。
把表單的儲存位置與其他環境分開
大學表示未發現擴散到其他IT系統的證據。讓表單儲存在認證和網路上與學生和教職員工系統保持分離，這樣一旦被入侵也不會擴散（我們的看法）。
能夠告訴每個人有哪些關於他們的資訊被拿走
大學表示，在核實身份後，將告知人們哪些資訊受到影響。涉及人數眾多時，回覆需要時間，因此以可按人查詢的形式儲存提交內容，有助於更好地通知（我們的看法）。
資訊來源（公開記錄）
本文事實來自以下公開資訊。攻擊步驟的細節不在本文涉及範圍內。
- York University，「Cybersecurity Incident」（官方頁面；2026年11月12日查閱）— yorku.ca
更新記錄
2026-11-12：首版。基於約克大學的官方頁面。頁面上未顯示通知的日期和受影響人數。有更多資訊釋出時我們將更新。
延伸閱讀
- 教育領域的外洩事件：ETS（加利福尼亞州統一考試）學生資料外洩
- 識別假訊息：什麼是網路釣魚
- 2026年的其他事件：2026年的資料外洩與網路攻擊