York University di Toronto, Kanada, mengonfirmasi bahwa pihak tanpa izin mencuri informasi pribadi dari sejumlah formulir daring yang digunakan unit-unit universitas. Insiden yang ditemukan pada 25 Oktober 2026 itu melibatkan formulir di 14 situs universitas. Catatan tertua berasal dari 2007, sementara tahun awal pengumpulan data berbeda untuk setiap situs.
Sebagian formulir memuat informasi sensitif
Formulir yang terdampak digunakan untuk berbagai keperluan kampus, termasuk pendaftaran pertemuan, pengajuan tempat tinggal, dan survei. Menurut universitas, sebagian besar informasi yang dicuri berupa data dasar seperti kontak dan nomor identifikasi York. Jenis informasi yang terekspos berbeda untuk setiap orang, tergantung formulir yang diisi.
Daftar universitas mencakup alamat email, nomor telepon, alamat tempat tinggal, tanggal lahir, informasi identitas pemerintah, dan kontak pihak ketiga. Beberapa formulir juga memuat riwayat pendidikan atau pekerjaan, kondisi keuangan, latar belakang hukum, informasi kesehatan, data demografis, serta foto. Informasi kesehatan dapat mencakup diagnosis dan perawatan, sedangkan informasi keuangan dapat mencakup pendapatan dan utang.
Universitas menyatakan telah mengidentifikasi individu yang terdampak dan jenis informasi yang dicuri. Jumlah orang yang terdampak belum diumumkan. York juga mengatakan telah menangani insiden tersebut dan formulir di situsnya kini aman digunakan kembali.
York menawarkan pemantauan kredit selama dua tahun
York University sedang memberi tahu pihak yang terdampak. Universitas akan menghubungi langsung individu yang informasi identitas pemerintah atau rekening keuangannya terekspos dan menawarkan pemantauan kredit serta perlindungan dari pencurian identitas selama dua tahun. Orang yang belum menerima pemberitahuan dapat menghubungi universitas untuk menanyakan apakah data mereka termasuk dalam insiden ini.
Universitas mengingatkan bahwa pihaknya tidak akan meminta kata sandi, informasi perbankan, atau nomor kartu kredit lengkap lewat telepon, pesan teks, atau email. Orang yang menerima permintaan semacam itu dari pihak yang mengaku mewakili York diminta mengakhiri panggilan atau mengabaikan pesan tersebut.
Sumber: York University – Cybersecurity Incident
