Vazamento de dados da University of Nottingham em 2026

Os tipos de dados vazados incluem registros acadêmicos, status de cidadania, datas de nascimento, informações sobre deficiência, endereços de e-mail, campos sobre origem étnica, informações de gênero, endereços IP, nomes completos, números de passaporte, números de telefone, endereços físicos, dados de compras, informações sobre formas de tratamento e nomes de usuário. Esses campos podem ser sensíveis mesmo isoladamente; em conjunto, criam um perfil detalhado da trajetória educacional, dos dados de identidade, dos meios de contato e do vínculo de uma pessoa com o campus. Números de passaporte e datas de nascimento podem ser usados indevidamente em processos de verificação de identidade. Campos de endereço, telefone e e-mail podem servir de base para golpes convincentes. Registros acadêmicos e informações sobre deficiência são dados de caráter altamente privado, por isso o registro deve ser classificado como sensível.

O escopo verificado inclui aproximadamente 454.635 contas afetadas e as categorias de dados listadas acima. O registro está associado ao domínio da University of Nottingham, e o contexto setorial é o da educação. Nesse escopo, números de cartões de pagamento, contas bancárias, senhas, conteúdo de mensagens privadas ou cópias integrais de documentos não constam como campos verificados. Portanto, a avaliação de risco se limita aos campos acadêmicos, de identidade, de contato e demográficos verificados. A data do vazamento é de 2026; este registro de vazamento corresponde ao conjunto de dados verificado do período de 2026, e não à ingestão, em 2025, de um incidente antigo. Essa distinção é importante para interpretar corretamente a data do incidente na tela de Segurança da conta.

Os grupos em risco podem incluir estudantes, egressos, docentes, funcionários administrativos, candidatos a ingressar na universidade e pessoas com histórico de transações com os serviços da universidade. As mensagens de phishing se tornam mais convincentes quando exploram números de passaporte, status de cidadania, datas de nascimento e endereços das pessoas visadas. Para quem teve os registros acadêmicos afetados, aumentam os riscos de ataques direcionados com base na trajetória educacional, de golpes relacionados a bolsas de estudo ou matrículas e de engenharia social. Pode haver tentativas de contato por vários canais quando uma conta contém tanto números de telefone quanto endereços de e-mail. Campos técnicos, como nome de usuário e endereço IP, também geram riscos adicionais relacionados à associação entre contas, à estimativa de localização e à análise da segurança das sessões.

Se você foi afetado, use senhas fortes e exclusivas na sua conta da universidade, na sua conta de e-mail pessoal e em outros serviços vinculados às mesmas credenciais. Se a autenticação multifator não estiver habilitada, ative-a imediatamente. Examine com cuidado mensagens inesperadas sobre universidade, bolsas de estudo, matrícula, visto, passaporte, pagamento ou serviços estudantis. Não compartilhe informações pessoais em solicitações de verificação recebidas por telefone e confirme também a solicitação de transação pelos canais oficiais. Monitore a atividade nas contas oficiais para identificar solicitações suspeitas que contenham números de passaporte ou datas de nascimento. Verifique os filtros de e-mail, o histórico de sessões e as informações de recuperação em busca de sinais de acesso não autorizado.

Este incidente demonstra o risco de armazenar dados de identidade, registros acadêmicos e dados de comunicação em conjunto nas instituições de ensino. Do lado institucional, os prazos de retenção de dados devem ser reduzidos, as permissões de acesso devem se limitar às necessidades de cada função e as áreas que contêm dados altamente sensíveis devem contar com camadas de proteção separadas. Números de passaporte, informações sobre deficiência e campos demográficos devem passar por auditorias regulares de acesso. Para você, usar um gerenciador de senhas, autenticação multifator e um endereço de e-mail separado reforça a proteção a longo prazo. Após um incidente semelhante, apenas mudar a senha não é suficiente; também é necessário revisar regularmente os cuidados para reconhecer phishing, as informações de recuperação da conta e os canais oficiais de notificação.

Se o endereço foi usado em uma conta de estudante, funcionário, ex-aluno ou candidato, o risco pode ser maior. Embora o registro não confirme um vazamento de senhas, ele é considerado sensível devido à grande quantidade de campos de identidade e contato. Revise o histórico de login das contas importantes que usam o mesmo endereço de e-mail, mantenha atualizados o e-mail e o telefone de recuperação e verifique mensagens suspeitas pelos canais oficiais, sem responder a elas. Como campos como número de passaporte, endereço ou data de nascimento não podem ser alterados, os alertas de phishing devem permanecer ativos a longo prazo.