Fuite de données à Columbia University (3,1 millions de personnes touchées)

La fiche du Texas indique une période d’accès allant du 16 mai au 24 juin 2025. Après l’interruption de service du 24 juin, Columbia a sécurisé ses systèmes, fait appel à des spécialistes externes en cybersécurité et déclaré n’avoir observé aucun nouvel accès non autorisé au réseau.

L’université a commencé à envoyer ses premières notifications en août 2025, puis a achevé un examen plus large et envoyé des notifications supplémentaires en 2026. La date du 8 juillet indiquée dans le champ consacré à la découverte de l’incident dans la fiche du Texas correspond à une étape ultérieure de l’enquête; le 24 juin reste la date de détection opérationnelle annoncée par l’université.

Une première déclaration déposée en 2025 auprès des autorités de réglementation faisait état d’un groupe plus restreint de 868 969 personnes. Un examen complémentaire a permis d’identifier des informations concernant des personnes sans lien direct avec Columbia, qui avaient été transmises par le passé dans le cadre de procédures de recrutement d’étudiants ou d’attribution de bourses. Le total actuel indiqué par le Texas est ainsi passé à 3 067 242 personnes.

Selon Ars Technica, environ 1,8 million de numéros de sécurité sociale étaient concernés. Il s’agit d’un sous-ensemble de la population touchée, défini par un type de données précis; le nombre de personnes indiqué dans la notification initiale, le total national actuel et le sous-ensemble lié aux numéros de sécurité sociale ne doivent pas être additionnés.

Selon les personnes, les informations touchées peuvent comprendre les noms, adresses, dates de naissance, numéros de sécurité sociale, permis de conduire ou autres pièces d’identité officielles, informations relatives aux comptes financiers, à l’assurance maladie et certaines informations de santé, ainsi que des informations sur les admissions, les inscriptions, le parcours universitaire et les aides financières.

Bien que la notification officielle mentionne certaines informations de santé, elle précise qu’aucun élément n’indique que les dossiers des patients du centre médical ont été touchés. Il ne faut pas supposer que toutes les catégories concernent chaque personne; si vous avez reçu une notification individuelle, référez-vous aux types de données indiqués dans votre propre courrier.

Les numéros de sécurité sociale, dates de naissance et informations figurant sur les pièces d’identité officielles, associés à des éléments du parcours universitaire ou des aides financières, peuvent rendre plus convaincantes des tentatives frauduleuses liées au crédit, aux impôts, aux bourses ou à la récupération de comptes.

Si vous avez reçu une notification, consultez régulièrement vos rapports de crédit, envisagez un gel du crédit ou une alerte à la fraude et vérifiez que vos comptes fiscaux ou d’aide aux étudiants ne présentent pas de changements inattendus. Inscrivez-vous au service de surveillance de Columbia uniquement par le canal indiqué dans la notification officielle.

Des attaquants peuvent utiliser de véritables informations sur l’établissement, la candidature, l’inscription ou les aides financières dans de faux messages concernant des bourses, des documents manquants, des remboursements de frais, des dettes ou des vérifications de compte. L’exactitude des informations personnelles ne prouve pas que l’expéditeur représente l’université.

Vérifiez de manière indépendante toute demande de paiement, de document ou de justificatif d’identité en passant par le domaine officiel de Columbia ou par un autre canal que vous connaissiez déjà. Pour cette vérification, n’utilisez aucun lien, numéro de téléphone ou pièce jointe provenant d’un message inattendu.

Un résultat positif lié à cet incident constitue une raison suffisante pour vérifier les types de données indiqués dans votre propre notification et prendre les mesures de protection appropriées pour votre identité, votre crédit et vos comptes liés aux études. Il ne prouve pas que toutes les catégories de données vous concernaient ni que les données ont été utilisées à des fins malveillantes.

Un résultat négatif ne garantit pas qu’aucun enregistrement vous concernant ne figure dans un autre incident. Si vous avez reçu une notification individuelle de Columbia, respectez les délais et suivez les mesures de protection qui y sont indiqués, même si vous n’avez actuellement aucun lien avec l’université.