Violation de données — University of Oxford CareerConnect 2026

Selon Oxford, CareerConnect est un système tiers fourni par GTI qui a fait l’objet d’un accès non autorisé le 28 mai. Les attaquants pouvaient accéder aux prénoms, aux noms de famille et aux adresses e-mail des utilisateurs de la plateforme. Les valeurs chiffrées des mots de passe étaient également accessibles pour les personnes qui se connectaient avec un mot de passe stocké localement dans CareerConnect.

GTI a confirmé que la vulnérabilité de sécurité avait été corrigée et que des mesures de protection supplémentaires avaient été mises en place. L’université poursuivait l’évaluation de l’impact avec le fournisseur et a indiqué qu’elle contacterait directement les utilisateurs concernés si d’autres actions devenaient nécessaires. L’avis ne précisait ni l’identité de l’attaquant, ni la faille exploitée, ni la durée de l’accès, ni le volume de données téléchargées.

Les étudiants d’Oxford se connectent à CareerConnect au moyen du système d’authentification unique (Single Sign-On) de l’université. Celle-ci a donc indiqué que les mots de passe des étudiants n’étaient pas concernés et que les champs accessibles pour leurs comptes se limitaient aux noms et aux adresses e-mail. Cette distinction signifie que la catégorie des mots de passe chiffrés ne concerne pas tous les utilisateurs touchés par l’incident.

Le SSO implique qu’aucun mot de passe local d’étudiant n’était stocké dans la base de données de CareerConnect, mais il ne remet pas en cause l’accès confirmé aux noms et aux adresses e-mail. Cette fiche répertorie les catégories de données pour l’incident dans son ensemble, tout en conservant dans cette description la distinction entre les groupes d’utilisateurs. Elle ne doit pas être interprétée comme faisant état d’un vol de mots de passe étudiants ou d’identifiants SSO d’Oxford.

Les anciens étudiants, le personnel de recherche et les utilisateurs représentant des employeurs se connectaient avec des mots de passe définis localement dans CareerConnect. Oxford a indiqué que les valeurs chiffrées des mots de passe de ces comptes faisaient partie des données accessibles. GTI a invalidé les mots de passe locaux, et les utilisateurs devaient en créer un nouveau lors de leur connexion suivante.

Un mot de passe chiffré n’est pas équivalent à un mot de passe en clair, mais il peut présenter un risque de cassage hors ligne et de réutilisation des identifiants sur d’autres services. L’université a indiqué que l’incident semblait viser la collecte d’identifiants susceptibles de servir à des opérations d’hameçonnage. Aucun élément démontrant que les mots de passe avaient été déchiffrés et utilisés avec succès n’a été rendu public.

Oxford et GTI ont indiqué qu’aucun élément ne montrait que les informations relatives aux cours, les fichiers téléversés, les informations sur les rendez-vous ou les informations financières étaient concernés. Aucun élément ne montrait non plus que les systèmes propres à l’université avaient été compromis; l’incident concernait uniquement l’environnement tiers CareerConnect. Les décomptes de personnes, les champs de données et les déclarations d’acteurs malveillants non vérifiés ne sont pas considérés comme faisant partie du périmètre public de l’incident.

Les candidatures à des emplois, les CV, les notes d’entretien, les données de paiement et les fichiers internes de l’université ne sont pas inclus dans le périmètre confirmé. La formule « aucun élément » correspond au constat publié à l’issue de l’enquête, et non à l’affirmation d’une impossibilité technique absolue. Cette fiche pourra être mise à jour si de nouveaux éléments officiels modifient le périmètre; la version actuelle ne comprend que les champs vérifiés.

GTI a indiqué que l’incident semblait viser la collecte d’identifiants, et Oxford a mis en garde le personnel, les étudiants et les utilisateurs externes de CareerConnect contre les e-mails et les messages suspects. Il a été conseillé aux utilisateurs de vérifier les demandes d’informations personnelles ou financières par un canal indépendant et de signaler les communications suspectes à l’équipe de sécurité de l’information de l’université.

L’invalidation des mots de passe locaux, la correction de la vulnérabilité et le déploiement de contrôles supplémentaires ont constitué des mesures de réponse directes. Oxford a indiqué que la plateforme avait été sécurisée et pouvait de nouveau être utilisée en toute sécurité, tout en poursuivant l’évaluation de l’impact avec GTI. L’université a également confirmé qu’elle ne disposait d’aucune information indiquant la présence d’un rançongiciel, une revendication de responsabilité ou une attribution à un attaquant.

Cette fiche couvre uniquement l’incident du 28 mai 2026 impliquant la plateforme tierce CareerConnect. Oxford a également été touchée cette année-là par un autre incident sur la plateforme d’apprentissage Instructure Canvas qu’elle utilisait. L’incident Canvas concernait un autre fournisseur, une autre date, un autre système et d’autres catégories de données; ces deux événements ne doivent pas être regroupés en une seule violation de données ni dans un même décompte de personnes.

La conclusion vérifiée est qu’un accès a eu lieu aux prénoms, aux noms de famille et aux adresses e-mail dans CareerConnect, ainsi qu’aux mots de passe chiffrés des comptes sans SSO appartenant aux anciens étudiants, au personnel de recherche et aux utilisateurs représentant des employeurs. Aucun élément ne montrait que les mots de passe des étudiants, les données financières, les informations relatives aux cours, les fichiers téléversés, les rendez-vous ou les systèmes propres à Oxford avaient été touchés, et aucun total d’utilisateurs distincts concernés n’a été publié.