Fuite de données à University of Phoenix (3,49 millions de personnes touchées)

Un tiers non autorisé a exploité une vulnérabilité d’Oracle EBS alors inconnue et a exfiltré des données de l’environnement de l’université entre le 13 août et le 22 août 2025. L’université a pris connaissance de l’incident potentiel le 21 novembre et a confirmé le transfert non autorisé de données le 24 novembre.

Le document déposé par la société auprès de la SEC indique que l’incident n’a perturbé ni ses activités ni les programmes destinés aux étudiants. Cela ne signifie pas que les informations personnelles n’ont pas été touchées : l’incident concernait des données conservées dans l’environnement logiciel de gestion de l’établissement.

Selon les notifications officielles, les informations touchées peuvent comprendre des noms, des dates de naissance, des numéros de sécurité sociale, des numéros de compte bancaire et des numéros de routage bancaire.

Toutes les catégories de données énumérées ne concernaient pas nécessairement chaque personne. La notification adressée à l’autorité de régulation de l’État de Washington indique que les numéros de compte et de routage bancaires étaient présents sans informations permettant d’accéder aux comptes.

Le procureur général du Texas fait état de 3 489 274 personnes touchées au total, dont 304 393 résidents du Texas. Le document déposé dans l’État de Washington fait séparément état de 64 796 résidents touchés dans cet État.

Un numéro de sécurité sociale et une date de naissance peuvent faciliter une usurpation d’identité, des demandes frauduleuses d’ouverture de compte ou des tentatives visant l’historique de crédit d’une personne. Les coordonnées bancaires peuvent aussi donner l’impression qu’un message frauduleux fait référence à une véritable transaction financière.

Si vous recevez un message inattendu prétendant provenir de l’université, d’un organisme de prêt étudiant ou d’une banque, utilisez le canal de contact officiel de l’organisme plutôt que de suivre le lien fourni. Des informations exactes sur vos études ou votre compte ne prouvent pas que l’expéditeur est autorisé à vous contacter.

L’université a mené une enquête avec des spécialistes externes en cybersécurité, installé les correctifs logiciels publiés par Oracle et informé les forces de l’ordre. Elle a proposé aux personnes touchées des services gratuits de protection de l’identité par l’intermédiaire d’IDX.

Les destinataires d’une notification peuvent s’inscrire au service de protection proposé avant la date limite indiquée et consulter régulièrement leurs rapports de crédit et leurs comptes bancaires pour repérer toute activité qu’ils ne reconnaissent pas. Selon la situation de chacun, une alerte à la fraude ou un gel du dossier de crédit peut également être approprié.

Si vous constatez une transaction que vous ne reconnaissez pas, contactez directement la banque ou l’organisme de crédit concerné. Ne communiquez aucun mot de passe, code à usage unique ou renseignement de paiement en réponse à un appel ou à un message inattendu.