University of Oxford CareerConnect 2026 डेटा उल्लंघन

Oxford के अनुसार, CareerConnect, GTI द्वारा उपलब्ध कराई गई एक तृतीय-पक्ष प्रणाली है, जिसमें 28 मई को अनधिकृत पहुँच हुई थी। हमलावर प्लेटफ़ॉर्म के उपयोगकर्ताओं के नाम, उपनाम और ईमेल पतों तक पहुँच सकते थे। जिन लोगों ने CareerConnect में स्थानीय रूप से संग्रहीत पासवर्ड से साइन इन किया था, उनके पासवर्ड के एन्क्रिप्टेड मान भी इस पहुँच के दायरे में थे।

GTI ने पुष्टि की कि सुरक्षा खामी को ठीक कर दिया गया था और अतिरिक्त सुरक्षा उपाय लागू किए गए थे। विश्वविद्यालय प्रदाता के साथ मिलकर घटना के प्रभाव का आकलन जारी रखे हुए था। उसने कहा कि यदि आगे कोई कार्रवाई आवश्यक हुई, तो वह प्रभावित उपयोगकर्ताओं से सीधे संपर्क करेगा। सूचना में हमलावर की पहचान, इस्तेमाल की गई खामी, पहुँच की अवधि या डाउनलोड किए गए डेटा की मात्रा नहीं बताई गई थी।

Oxford के छात्र विश्वविद्यालय की Single Sign-On प्रणाली के ज़रिए CareerConnect में साइन इन करते हैं। इसलिए विश्वविद्यालय ने कहा कि छात्रों के पासवर्ड प्रभावित नहीं हुए थे और उनके खातों में केवल नामों और ईमेल पतों तक पहुँच संभव थी। इस अंतर का अर्थ है कि घटना में एन्क्रिप्टेड पासवर्ड की डेटा श्रेणी हर उपयोगकर्ता पर लागू नहीं होती।

SSO के कारण CareerConnect डेटाबेस में छात्रों का कोई स्थानीय पासवर्ड संग्रहीत नहीं था, लेकिन इससे उनके नामों और ईमेल पतों तक हुई पुष्ट पहुँच का तथ्य नहीं बदलता। यह रिकॉर्ड पूरी घटना की डेटा श्रेणियाँ सूचीबद्ध करता है, जबकि इस विवरण में उपयोगकर्ता समूहों के अनुसार उनकी सीमाएँ स्पष्ट रखी गई हैं। इसे छात्रों के पासवर्ड या Oxford SSO क्रेडेंशियल्स की चोरी के रूप में नहीं समझा जाना चाहिए।

पूर्व छात्र, शोध कर्मचारी और नियोक्ता उपयोगकर्ता CareerConnect में स्थानीय रूप से सेट किए गए पासवर्ड से साइन इन करते थे। Oxford ने कहा कि इन खातों के पासवर्ड के एन्क्रिप्टेड मान पहुँच के दायरे में थे। GTI ने स्थानीय पासवर्ड अमान्य कर दिए, और उपयोगकर्ताओं के लिए अगली बार साइन इन करते समय नया पासवर्ड बनाना आवश्यक कर दिया गया।

एन्क्रिप्टेड पासवर्ड, सादे पाठ में मौजूद पासवर्ड के समान नहीं होता। फिर भी, ऑफ़लाइन तरीके से उसे क्रैक किए जाने और अन्य सेवाओं पर उसी क्रेडेंशियल के दोबारा इस्तेमाल के कारण जोखिम पैदा हो सकता है। विश्वविद्यालय ने कहा कि घटना का उद्देश्य ऐसे क्रेडेंशियल्स जुटाना प्रतीत हुआ, जो फ़िशिंग में काम आ सकते थे। ऐसा कोई साक्ष्य सार्वजनिक नहीं किया गया जिससे पता चलता हो कि पासवर्ड डिक्रिप्ट किए गए थे और उनका सफलतापूर्वक इस्तेमाल हुआ था।

Oxford और GTI ने कहा कि ऐसा कोई साक्ष्य नहीं था जिससे पता चलता हो कि पाठ्यक्रम की जानकारी, अपलोड की गई फ़ाइलें, अपॉइंटमेंट की जानकारी या वित्तीय जानकारी इस घटना में शामिल थी। विश्वविद्यालय की अपनी प्रणालियों के सुरक्षा भंग का भी कोई साक्ष्य नहीं था; घटना केवल तृतीय-पक्ष CareerConnect परिवेश से संबंधित थी। व्यक्तियों की अपुष्ट संख्या, डेटा फ़ील्ड और हमलावरों से जुड़े दावों को सार्वजनिक रूप से दर्ज घटना के दायरे का हिस्सा नहीं माना गया है।

नौकरी के आवेदन, रिज़्यूमे, साक्षात्कार के नोट्स, भुगतान संबंधी डेटा और विश्वविद्यालय की आंतरिक फ़ाइलों को पुष्ट दायरे में नहीं जोड़ा गया है। “कोई साक्ष्य नहीं” प्रकाशित जाँच का निष्कर्ष है, न कि तकनीकी रूप से ऐसा होना पूरी तरह असंभव होने का दावा। यदि नए आधिकारिक साक्ष्य से दायरा बदलता है, तो रिकॉर्ड को अद्यतन किया जा सकता है; वर्तमान संस्करण में केवल सत्यापित फ़ील्ड शामिल हैं।

GTI ने कहा कि घटना का उद्देश्य क्रेडेंशियल्स एकत्र करना प्रतीत हुआ। Oxford ने कर्मचारियों, छात्रों और CareerConnect के बाहरी उपयोगकर्ताओं को संदिग्ध ईमेल और संदेशों के बारे में चेतावनी दी। उपयोगकर्ताओं को सलाह दी गई कि वे व्यक्तिगत या वित्तीय जानकारी माँगने वाले अनुरोधों की किसी स्वतंत्र माध्यम से पुष्टि करें और संदिग्ध संचार की सूचना विश्वविद्यालय की सूचना-सुरक्षा टीम को दें।

स्थानीय पासवर्ड अमान्य करना, सुरक्षा खामी को ठीक करना और अतिरिक्त नियंत्रण लागू करना इस घटना के जवाब में उठाए गए सीधे कदम थे। Oxford ने कहा कि प्लेटफ़ॉर्म को सुरक्षित कर दिया गया था और उसका दोबारा उपयोग करना सुरक्षित था। साथ ही, वह GTI के साथ मिलकर प्रभाव का आकलन जारी रखे हुए था। विश्वविद्यालय ने यह भी पुष्टि की कि उसके पास रैनसमवेयर, किसी के ज़िम्मेदारी लेने के दावे या किसी हमलावर की पहचान की ओर संकेत करने वाली कोई जानकारी नहीं थी।

यह रिकॉर्ड केवल 28 मई 2026 की उस घटना को शामिल करता है जो तृतीय-पक्ष CareerConnect प्लेटफ़ॉर्म से जुड़ी थी। उसी वर्ष Oxford अपने उपयोग में आने वाले Instructure Canvas शिक्षण प्लेटफ़ॉर्म की एक अलग घटना से भी प्रभावित हुआ था। Canvas की घटना का प्रदाता, तारीख, प्रणाली और डेटा श्रेणियाँ अलग थीं; इन दोनों घटनाओं को एक ही डेटा उल्लंघन के रूप में या प्रभावित व्यक्तियों की एक साझा संख्या में नहीं मिलाना चाहिए।

सत्यापित निष्कर्ष यह है कि CareerConnect के उपयोगकर्ताओं के नामों, उपनामों और ईमेल पतों तक पहुँच हुई थी। साथ ही, SSO का उपयोग न करने वाले पूर्व छात्रों, शोध कर्मचारियों और नियोक्ताओं के खातों के एन्क्रिप्टेड पासवर्ड तक भी पहुँच हुई थी। छात्रों के पासवर्ड, वित्तीय डेटा, पाठ्यक्रम की जानकारी, अपलोड की गई फ़ाइलों, अपॉइंटमेंट या Oxford की अपनी प्रणालियों पर प्रभाव का कोई साक्ष्य नहीं था, और प्रभावित अलग-अलग उपयोगकर्ताओं की कुल संख्या का खुलासा नहीं किया गया था।