University of Nottingham: fuite de données en 2026

Les données divulguées comprennent des dossiers universitaires, des statuts de citoyenneté, des dates de naissance, des informations sur le handicap, des adresses e-mail, des données sur l’origine ethnique, des informations sur le genre, des adresses IP, des noms complets, des numéros de passeport, des numéros de téléphone, des adresses postales, des données d’achat, des civilités et des noms d’utilisateur. Ces informations peuvent être sensibles même prises isolément. Une fois réunies, elles permettent de dresser un profil détaillé du parcours universitaire d’une personne, de son identité, de ses coordonnées et de ses liens avec le campus. Les numéros de passeport et les dates de naissance peuvent être utilisés à des fins frauduleuses dans des procédures de vérification d’identité. Les adresses, les numéros de téléphone et les adresses e-mail facilitent la mise en place de scénarios de fraude crédibles. Les dossiers universitaires et les informations sur le handicap sont particulièrement confidentiels : ce jeu de données doit donc être considéré comme sensible.

Le périmètre vérifié comprend environ 454 635 comptes concernés et les catégories de données énumérées ci-dessus. Le jeu de données est associé au domaine de University of Nottingham, dans le secteur de l’éducation. Dans ce périmètre, les numéros de carte de paiement, les comptes bancaires, les mots de passe, le contenu de messages privés et les copies intégrales de documents ne figurent pas parmi les champs vérifiés. L’évaluation des risques se limite donc aux données universitaires, d’identité, de contact et démographiques vérifiées. La fuite date de 2026 : cette fiche correspond au jeu de données vérifié pour la période de 2026, et non à l’intégration, en 2025, de données issues d’un incident ancien. Cette distinction est importante pour interpréter correctement la date de l’incident sur l’écran Sécurité des comptes.

Les groupes à risque peuvent comprendre les étudiants, les diplômés, le personnel enseignant et de recherche, le personnel administratif, les futurs étudiants et les personnes ayant effectué des transactions auprès des services de l’université. Les messages d’hameçonnage deviennent plus convaincants lorsqu’ils exploitent le numéro de passeport, le statut de citoyenneté, la date de naissance et l’adresse d’une personne. Les personnes dont les dossiers universitaires sont concernés sont davantage exposées au ciblage fondé sur leur parcours universitaire, aux fraudes liées aux bourses ou aux inscriptions et à l’ingénierie sociale. Des tentatives de prise de contact par plusieurs canaux peuvent viser les comptes pour lesquels un numéro de téléphone et une adresse e-mail sont tous deux disponibles. Les champs techniques, comme le nom d’utilisateur et l’adresse IP, présentent également des risques supplémentaires de rapprochement entre comptes, d’estimation de la localisation et d’analyse de la sécurité des sessions.

Si vous êtes concerné, utilisez des mots de passe robustes et uniques pour votre compte universitaire, votre compte de messagerie personnel et les autres services utilisant les mêmes identifiants. Si l’authentification multifacteur n’est pas activée, activez-la immédiatement. Examinez attentivement les messages inattendus concernant l’université, les bourses, les inscriptions, les visas, les passeports, les paiements ou les services aux étudiants. Ne communiquez pas d’informations personnelles en réponse à une demande de vérification reçue par téléphone et confirmez également toute demande d’opération par les canaux officiels. Surveillez l’activité de vos comptes officiels afin de repérer les demandes suspectes comportant un numéro de passeport ou une date de naissance. Vérifiez vos filtres de messagerie, votre historique de sessions et vos informations de récupération pour détecter d’éventuels signes d’accès non autorisé.

Cet incident illustre le risque lié au stockage conjoint des données d’identité, des dossiers universitaires et des données de communication dans les établissements d’enseignement. Les établissements devraient réduire les durées de conservation des données, limiter les droits d’accès aux besoins de chaque fonction et protéger les catégories de données très sensibles au moyen de couches de protection distinctes. L’accès aux numéros de passeport, aux informations sur le handicap et aux données démographiques devrait faire l’objet d’audits réguliers. De votre côté, l’utilisation d’un gestionnaire de mots de passe, de l’authentification multifacteur et d’une adresse e-mail distincte renforce votre protection à long terme. Après un incident de ce type, changer uniquement votre mot de passe ne suffit pas : vous devez aussi entretenir votre vigilance face à l’hameçonnage et vérifier régulièrement vos informations de récupération de compte ainsi que les canaux de notification officiels.

Si vous avez utilisé l’adresse pour un compte étudiant, un compte du personnel, un compte d’ancien étudiant ou un compte de candidature, le risque peut être plus élevé. Bien que cette fiche ne confirme pas de fuite de mots de passe, le jeu de données est considéré comme sensible en raison de l’étendue des informations d’identité et de contact qu’il contient. Consultez l’historique de connexion de vos comptes critiques utilisant la même adresse e-mail, maintenez à jour votre adresse e-mail et votre numéro de téléphone de récupération, et vérifiez les messages suspects par les canaux officiels sans y répondre. Les informations telles que le passeport, l’adresse ou la date de naissance ne pouvant pas être modifiées, maintenez les alertes contre l’hameçonnage actives sur le long terme.