Violação de dados de 2026 no CareerConnect da University of Oxford
A violação de dados de 2026 no CareerConnect da University of Oxford foi um incidente em que a universidade confirmou o acesso não autorizado a dados de contas de usuários em sua plataforma de carreiras fornecida por terceiros.
A organização não divulgou quantos foram afetados, então não é possível classificar o incidente nesta escala.
Tipos de dados expostos
4- Primeiros nomes
- Sobrenomes
- Endereços de e-mail
- Encrypted passwords for non-SSO accounts
Sobre este vazamento
A GTI, fornecedora da plataforma, informou a Oxford em 28 de maio de 2026 que uma parte não autorizada havia conseguido acessar nomes, sobrenomes, endereços de e-mail e senhas criptografadas de contas que não usavam Single Sign-On.
O comunicado do Oxford University Careers Service é a fonte principal, enquanto o BleepingComputer noticiou de forma independente a declaração da universidade, os grupos de usuários envolvidos e o alcance limitado do incidente. Oxford e GTI não divulgaram o número de usuários únicos afetados. A organização não publicou um total verificável de pessoas ou registros afetados. A ausência de um número divulgado não significa que o incidente não teve impacto; significa que as fontes públicas não fornecem um total confiável.
Alcance confirmado do incidente
Segundo Oxford, o CareerConnect é um sistema de terceiros fornecido pela GTI e foi acessado sem autorização em 28 de maio. Os invasores podiam acessar nomes, sobrenomes e endereços de e-mail dos usuários da plataforma. Os valores das senhas criptografadas também estavam acessíveis no caso de pessoas que faziam login com uma senha armazenada localmente no CareerConnect.
A GTI confirmou que a vulnerabilidade de segurança havia sido corrigida e que medidas adicionais de proteção haviam sido implementadas. A universidade continuou avaliando o impacto com a fornecedora e afirmou que entraria em contato diretamente com os usuários afetados caso outras ações se tornassem necessárias. O comunicado não identificou o invasor, a falha explorada, a duração do acesso nem o volume de dados baixados.
Contas de estudantes e SSO
Os estudantes de Oxford acessam o CareerConnect pelo sistema de Single Sign-On da universidade. Por isso, a universidade afirmou que as senhas dos estudantes não foram afetadas e que os campos acessíveis nas contas desses usuários se limitavam a nomes e endereços de e-mail. Essa distinção significa que a categoria de senhas criptografadas não se aplica a todos os usuários envolvidos no incidente.
Com o SSO, nenhuma senha local de estudante era armazenada no banco de dados do CareerConnect, mas isso não elimina o acesso confirmado a nomes e endereços de e-mail. O registro lista as categorias de dados do incidente como um todo, mantendo nesta descrição a delimitação por grupo de usuários. Ele não deve ser interpretado como um caso de roubo de senhas de estudantes ou de credenciais do SSO de Oxford.
Ex-alunos, equipe de pesquisa e empregadores
Ex-alunos, integrantes da equipe de pesquisa e usuários empregadores faziam login com senhas definidas localmente no CareerConnect. Oxford afirmou que os valores das senhas criptografadas dessas contas estavam entre os dados acessíveis. A GTI invalidou as senhas locais, e os usuários tiveram de criar uma nova senha no acesso seguinte.
Uma senha criptografada não é o mesmo que uma senha em texto simples, mas pode representar um risco devido a tentativas de quebra offline e à reutilização de credenciais em outros serviços. A universidade afirmou que o incidente parecia ter como foco a coleta de credenciais que poderiam ser usadas em phishing. Não foram divulgadas evidências de que as senhas tivessem sido descriptografadas e usadas com sucesso.
Dados apontados como não afetados
Oxford e GTI afirmaram que não havia evidências de envolvimento de informações sobre cursos, arquivos enviados, informações sobre agendamentos ou informações financeiras. Também não havia evidências de comprometimento dos sistemas da própria universidade; o incidente se restringia ao ambiente do CareerConnect fornecido por terceiros. Números de pessoas afetadas, campos de dados e alegações de agentes de ameaça sem verificação não são considerados parte do alcance público do incidente.
Candidaturas a vagas, currículos, anotações de entrevistas, dados de pagamento e arquivos internos da universidade não são incluídos no alcance confirmado. “Não há evidências” é a conclusão publicada da investigação, e não uma afirmação de impossibilidade técnica absoluta. O registro poderá ser atualizado se novas evidências oficiais alterarem o alcance; a versão atual inclui apenas campos verificados.
Risco de phishing e resposta ao incidente
A GTI afirmou que o incidente parecia ter como objetivo coletar credenciais, e Oxford alertou funcionários, estudantes e usuários externos do CareerConnect sobre e-mails e mensagens suspeitos. Os usuários foram orientados a verificar solicitações de informações pessoais ou financeiras por um canal independente e a denunciar comunicações suspeitas à equipe de segurança da informação da universidade.
A invalidação das senhas locais, a correção da vulnerabilidade e a implementação de controles adicionais foram medidas diretas de resposta. Oxford afirmou que a plataforma havia sido protegida e estava novamente segura para uso, enquanto continuava avaliando o impacto com a GTI. A universidade também confirmou que não dispunha de informações que indicassem ransomware, uma reivindicação de autoria ou a identificação do responsável pelo ataque.
Não combinar com outros incidentes de Oxford
Este registro abrange apenas o incidente de 28 de maio de 2026 envolvendo a plataforma de terceiros CareerConnect. Naquele ano, Oxford também foi afetada por um incidente diferente na plataforma de aprendizagem Instructure Canvas, que utilizava. O incidente do Canvas envolveu outra fornecedora, outra data, outro sistema e outro conjunto de categorias de dados; os dois eventos não devem ser agrupados em uma única violação ou contagem de pessoas.
A conclusão verificada é que nomes, sobrenomes e endereços de e-mail do CareerConnect foram acessados, assim como senhas criptografadas de contas de ex-alunos, integrantes da equipe de pesquisa e empregadores que não usavam SSO. Não havia evidências de impacto sobre senhas de estudantes, dados financeiros, informações sobre cursos, arquivos enviados, agendamentos ou os sistemas da própria Oxford, e não foi divulgado um total de usuários únicos afetados.
Verificação e método editorial
A LeakData compara o nome do incidente, a data, a quantidade de registros afetados e os tipos de dados expostos com fontes acessíveis. Campos não verificados não são apresentados como fatos, e os registros são atualizados quando novas evidências ficam disponíveis.
Informar dados ausentes ou incorretos
