Brecha de datos de University of Oxford CareerConnect de 2026

Según Oxford, CareerConnect es un sistema de un proveedor externo, GTI, al que se accedió sin autorización el 28 de mayo. Los atacantes podían acceder a los nombres, apellidos y direcciones de correo electrónico de los usuarios de la plataforma. También podían acceder a las contraseñas cifradas de quienes iniciaban sesión con una contraseña almacenada localmente en CareerConnect.

GTI confirmó que se había corregido la vulnerabilidad de seguridad y se habían implantado medidas de protección adicionales. La universidad seguía evaluando las consecuencias junto con el proveedor e indicó que contactaría directamente con los usuarios afectados si fuera necesario tomar más medidas. El aviso no identificó al atacante ni especificó la vulnerabilidad explotada, la duración del acceso o el volumen de datos descargados.

Los estudiantes de Oxford acceden a CareerConnect mediante el sistema de inicio de sesión único de la universidad. Por ello, la universidad indicó que las contraseñas de los estudiantes no se habían visto afectadas y que los campos accesibles de sus cuentas se limitaban a nombres y direcciones de correo electrónico. Esta distinción significa que la categoría de contraseñas cifradas no se aplica a todos los usuarios incluidos en el incidente.

El uso de SSO significa que no se almacenaba ninguna contraseña local de los estudiantes en la base de datos de CareerConnect, pero no elimina el acceso confirmado a nombres y direcciones de correo electrónico. La ficha enumera las categorías de datos del incidente en su conjunto y mantiene en esta descripción la distinción entre grupos de usuarios. No debe interpretarse como un robo de contraseñas de estudiantes ni de credenciales del SSO de Oxford.

Los antiguos alumnos, el personal investigador y los usuarios de entidades empleadoras iniciaban sesión con contraseñas configuradas localmente en CareerConnect. Oxford indicó que las contraseñas cifradas de estas cuentas estaban dentro del alcance del acceso. GTI invalidó las contraseñas locales y los usuarios debían crear una nueva contraseña la siguiente vez que iniciaran sesión.

Una contraseña cifrada no es lo mismo que una contraseña en texto plano, pero puede generar riesgos por los intentos de descifrado sin conexión y la reutilización de credenciales en otros servicios. La universidad indicó que el incidente parecía centrarse en recopilar credenciales que pudieran facilitar ataques de phishing. No se divulgaron pruebas de que las contraseñas se hubieran descifrado y utilizado con éxito.

Oxford y GTI indicaron que no había pruebas de que el incidente hubiera afectado a información sobre cursos, archivos subidos, información sobre citas o información financiera. Tampoco había pruebas de que los sistemas propios de la universidad se hubieran visto comprometidos; el incidente se limitaba al entorno de CareerConnect del proveedor externo. Las cifras de personas, los campos de datos y las afirmaciones de actores de amenazas que no se hayan verificado no se consideran parte del alcance público del incidente.

Las solicitudes de empleo, los currículos, las notas de entrevistas, los datos de pago y los archivos internos de la universidad no se incluyen en el alcance confirmado. «No hay pruebas» es la conclusión publicada de la investigación, no una afirmación de imposibilidad técnica absoluta. La ficha puede actualizarse si nuevas pruebas oficiales modifican el alcance; la versión actual solo incluye campos verificados.

GTI indicó que el incidente parecía tener como objetivo recopilar credenciales, y Oxford advirtió al personal, a los estudiantes y a los usuarios externos de CareerConnect sobre correos electrónicos y mensajes sospechosos. Se recomendó a los usuarios verificar por un canal independiente las solicitudes de información personal o financiera e informar de las comunicaciones sospechosas al equipo de seguridad de la información de la universidad.

La invalidación de las contraseñas locales, la corrección de la vulnerabilidad y la implantación de controles adicionales fueron medidas de respuesta directas. Oxford indicó que la plataforma se había protegido y que era seguro volver a utilizarla, mientras seguía evaluando las consecuencias junto con GTI. La universidad también confirmó que no disponía de información que indicara la presencia de ransomware, una reivindicación de autoría o una atribución del ataque.

Esta ficha abarca únicamente el incidente del 28 de mayo de 2026 relacionado con la plataforma CareerConnect de un proveedor externo. Ese año, Oxford también se vio afectada por otro incidente en la plataforma de aprendizaje Instructure Canvas que utilizaba. El incidente de Canvas correspondía a otro proveedor, otra fecha, otro sistema y otro conjunto de categorías de datos; ambos incidentes no deben combinarse en una sola brecha ni en una cifra conjunta de personas afectadas.

La conclusión verificada es que se accedió a los nombres, apellidos y direcciones de correo electrónico de CareerConnect, así como a las contraseñas cifradas de las cuentas sin SSO de antiguos alumnos, personal investigador y empleadores. No había pruebas de que se hubieran visto afectados las contraseñas de los estudiantes, los datos financieros, la información sobre cursos, los archivos subidos, las citas o los sistemas propios de Oxford, y no se divulgó un total de usuarios únicos afectados.