Violação de dados da Columbia University (3,1 milhões de pessoas afetadas)

O registro do Texas indica um período de acesso de 16 de maio a 24 de junho de 2025. Após a interrupção de 24 de junho, a Columbia protegeu seus sistemas, contratou especialistas externos em segurança cibernética e informou que não observou novos acessos não autorizados à rede.

A universidade começou a enviar as primeiras notificações em agosto de 2025 e concluiu uma análise mais abrangente e o envio de notificações adicionais em 2026. O campo de data de descoberta do registro do Texas indica 8 de julho, refletindo uma etapa posterior da investigação; 24 de junho é mantido como a data de detecção operacional informada pela universidade.

Um documento inicial apresentado ao órgão regulador em 2025 informou um grupo mais restrito, de 868.969 pessoas. Uma análise posterior identificou informações de pessoas sem vínculo direto com a Columbia que haviam sido fornecidas no passado por meio de processos de recrutamento de estudantes ou de concessão de bolsas de estudo, elevando o total atual registrado no Texas para 3.067.242.

Segundo a Ars Technica, cerca de 1,8 milhão de números de seguro social estavam envolvidos. Esse é um subconjunto da população afetada, referente a um campo específico; o número inicial de pessoas notificadas, o total nacional atual e o subconjunto de números de seguro social não são somados entre si.

Dependendo da pessoa, as informações afetadas podem incluir nomes, endereços, datas de nascimento, números de seguro social, carteiras de motorista ou outros documentos de identificação emitidos pelo governo, informações de contas financeiras, informações de seguro de saúde e determinadas informações de saúde, além de informações sobre admissão, matrícula, histórico acadêmico e auxílio financeiro.

Embora a notificação oficial mencione determinadas informações de saúde, ela afirma que não há evidências de que os prontuários de pacientes do centro médico tenham sido afetados. Não se deve presumir que todas as categorias se apliquem a todas as pessoas; se você recebeu uma notificação direta, deve se orientar pelos campos indicados na sua própria carta.

Informações de seguro social, data de nascimento e documentos de identificação emitidos pelo governo, combinadas com detalhes do histórico acadêmico ou do auxílio financeiro, podem tornar mais convincentes as tentativas de fraude envolvendo crédito, impostos, bolsas de estudo ou recuperação de contas.

Se você recebeu a notificação, deve acompanhar seus relatórios de crédito, considerar o congelamento de crédito ou a ativação de um alerta de fraude e verificar se há alterações inesperadas em suas contas fiscais ou de auxílio estudantil. A adesão ao serviço de monitoramento da Columbia deve ser feita somente pelo canal da notificação oficial.

Invasores podem usar dados reais sobre a instituição de ensino, a candidatura, a matrícula ou o auxílio financeiro em mensagens falsas sobre bolsas de estudo, documentos que faltam, reembolso de taxas, dívidas ou verificação de conta. Informações pessoais corretas não comprovam que o remetente representa a universidade.

Verifique de forma independente qualquer solicitação de pagamento, documentos ou identificação por meio do domínio oficial da Columbia ou de outro canal que você já conheça. Não use links, números de telefone ou anexos de uma mensagem inesperada para fazer essa verificação.

Uma correspondência positiva relacionada a este incidente é motivo suficiente para verificar os campos indicados na notificação recebida pela própria pessoa e adotar as medidas apropriadas de proteção da identidade, do crédito e das contas educacionais. Isso não comprova que todas as categorias se referiam àquela pessoa nem que os dados foram usados indevidamente.

Um resultado negativo não garante que não exista um registro em outro incidente. Se você recebeu uma notificação direta da Columbia, deve respeitar os prazos indicados na notificação e seguir as medidas de proteção nela indicadas, mesmo que não tenha nenhum vínculo atual com a universidade.