خرق بيانات Columbia University (تأثر 3.1 مليون شخص)

يحدد سجل تكساس فترة الوصول من 16 مايو إلى 24 يونيو 2025. وبعد انقطاع الخدمة في 24 يونيو، أمّنت Columbia أنظمتها واستعانت بمتخصصين خارجيين في الأمن السيبراني، وقالت إنها لم ترصد أي وصول غير مصرح به إلى الشبكة بعد ذلك.

بدأت الجامعة إرسال إشعاراتها الأولية في أغسطس 2025، واستكملت مراجعة أشمل وإرسال إشعارات إضافية في 2026. ويشير حقل تاريخ الاكتشاف في سجل تكساس، الذي يورد 8 يوليو، إلى مرحلة لاحقة من التحقيق؛ أما 24 يونيو فيظل تاريخ الرصد التشغيلي الذي أوردته الجامعة.

أفاد تقرير أولي قُدّم إلى الجهة التنظيمية في 2025 بتأثر مجموعة أضيق تضم 868,969 شخصًا. وكشفت المراجعة الإضافية عن معلومات تخص أشخاصًا لا تربطهم صلة مباشرة بجامعة Columbia، وكانت قد قُدّمت سابقًا ضمن إجراءات استقطاب الطلاب أو المنح الدراسية، مما رفع الإجمالي الحالي في سجل تكساس إلى 3,067,242.

أفادت Ars Technica بأن الواقعة شملت نحو 1.8 مليون رقم ضمان اجتماعي. وهذا عدد يخص حقل بيانات محدد ضمن مجموعة الأشخاص المتأثرين؛ ولا تُجمع أعداد المشمولين بالإشعارات الأولية والإجمالي الحالي على مستوى الولايات المتحدة والمجموعة الفرعية المتعلقة بأرقام الضمان الاجتماعي معًا.

بحسب الشخص، قد تشمل المعلومات المتأثرة الأسماء والعناوين وتواريخ الميلاد وأرقام الضمان الاجتماعي ورخص القيادة أو وثائق هوية حكومية أخرى، ومعلومات الحسابات المالية والتأمين الصحي وبعض المعلومات الصحية، إضافة إلى معلومات القبول والتسجيل والسجل الأكاديمي والمساعدات المالية.

مع أن الإشعار الرسمي يذكر بعض المعلومات الصحية، فإنه ينص على عدم وجود دليل يفيد بتأثر سجلات مرضى المركز الطبي. ولا ينبغي افتراض أن جميع فئات البيانات تنطبق على كل شخص؛ وعلى من تلقوا إشعارًا مباشرًا الرجوع إلى حقول البيانات المذكورة في الرسائل الموجهة إليهم.

قد يؤدي الجمع بين أرقام الضمان الاجتماعي وتواريخ الميلاد ومعلومات الهوية الحكومية، وبين تفاصيل السجل الأكاديمي أو المساعدات المالية، إلى جعل محاولات الاحتيال المتعلقة بالائتمان أو الضرائب أو المنح الدراسية أو استرداد الحسابات أكثر إقناعًا.

ينبغي لمتلقي الإشعارات مراقبة تقاريرهم الائتمانية، والنظر في تجميد الائتمان أو وضع تنبيه احتيال، وفحص حسابات الضرائب أو المساعدات الطلابية بحثًا عن تغييرات غير متوقعة. ويجب إتمام التسجيل في خدمة المراقبة التي تقدمها Columbia من خلال القناة المحددة في الإشعار الرسمي فقط.

قد يستخدم المهاجمون تفاصيل حقيقية عن المؤسسة التعليمية أو طلب التقديم أو التسجيل أو المساعدات المالية في رسائل مزيفة تتعلق بالمنح الدراسية أو المستندات الناقصة أو استرداد الرسوم أو الديون أو التحقق من الحساب. ولا تثبت صحة المعلومات الشخصية أن المرسل يمثل الجامعة.

تحقق بشكل مستقل من أي طلب دفع أو تقديم مستندات أو إثبات هوية عبر النطاق الرسمي لجامعة Columbia أو قناة أخرى تعرفها مسبقًا. ولا تستخدم للتحقق رابطًا أو رقم هاتف أو مرفقًا واردًا في رسالة غير متوقعة.

تُعد نتيجة المطابقة الإيجابية المرتبطة بهذه الواقعة سببًا كافيًا لمراجعة حقول البيانات الواردة في الإشعار الموجه إلى الشخص نفسه واتخاذ إجراءات الحماية المناسبة للهوية والائتمان والحسابات التعليمية. لكنها لا تثبت أن كل فئة من البيانات تخص ذلك الشخص أو أن البيانات أُسيء استخدامها.

لا تضمن النتيجة السلبية عدم وجود سجل في واقعة أخرى. وعلى كل من تلقى إشعارًا مباشرًا من Columbia الالتزام بالمواعيد النهائية وإجراءات الحماية الواردة فيه، حتى إن لم تعد تربطه بالجامعة أي علاقة حاليًا.