Violação de dados da biblioteca de código da University of Sydney em 2025

O comunicado oficial da University of Sydney, datado de 18 de dezembro de 2025, explica que uma biblioteca de código foi comprometida e continha extratos históricos de dados com informações pessoais. A página atualizada apresenta os grupos afetados da comunidade universitária, o cronograma de notificações e as medidas de resposta. A instituição confirma que bloqueou o acesso não autorizado, eliminou do repositório os conjuntos de dados identificados e informou as autoridades australianas competentes.

A seção oficial de perguntas frequentes (FAQ) da universidade informa que o incidente ficou restrito a uma plataforma on-line e não afetou outros sistemas da universidade. O BleepingComputer noticiou de forma independente a divulgação feita pela instituição, confirmando o download, os totais por grupo e os campos dos dados de funcionários. A LeakData adota o escopo informado por essas fontes e não especula sobre a identidade do invasor nem sobre um método técnico de acesso que não tenha sido divulgado.

A plataforma afetada era normalmente usada para armazenar código-fonte e desenvolver software. A universidade informou que os arquivos com informações pessoais eram extratos históricos criados principalmente para testes durante o desenvolvimento do código. A manutenção desses extratos em um ambiente de desenvolvimento permitiu que o comprometimento do repositório de código atingisse registros antigos da comunidade universitária.

Os dados de funcionários correspondiam a pessoas que trabalhavam na universidade ou tinham vínculo com ela em 4 de setembro de 2018. Os arquivos de estudantes e ex-alunos eram, em sua maioria, conjuntos de dados históricos de 2010 a 2019. Esses períodos mostram que, embora o incidente tenha ocorrido em 2025, as informações descreviam vínculos de anos anteriores; a antiguidade dos dados não elimina automaticamente o risco à privacidade.

Foram afetados aproximadamente 10.000 funcionários atuais e pessoas atualmente vinculadas à universidade e 12.500 ex-funcionários e pessoas anteriormente vinculadas. As reportagens baseadas nas declarações da universidade listam campos dos dados de funcionários, incluindo nomes, datas de nascimento, números de telefone, endereços residenciais e informações básicas sobre o cargo ou o vínculo empregatício. Este registro não afirma que todos os campos estavam presentes para todas as pessoas e limita as categorias de dados ao conteúdo dos arquivos de funcionários descrito publicamente.

A categoria restante inclui aproximadamente 5.000 estudantes e ex-alunos em conjuntos de dados principalmente de 2010 a 2019, além de seis apoiadores. A universidade confirmou o acesso às informações pessoais históricas dessas pessoas, mas não enumerou todos os campos dos dados de estudantes ou ex-alunos em sua página pública.

Após identificar atividades suspeitas, a universidade bloqueou o acesso não autorizado à biblioteca de código on-line, protegeu o ambiente e reforçou os procedimentos de segurança dos demais sistemas. Também eliminou do repositório os conjuntos de dados identificados e iniciou uma investigação para determinar o escopo do incidente e identificar as pessoas afetadas. Parceiros externos de cibersegurança continuaram monitorando sinais de que as informações tivessem aparecido on-line.

A instituição notificou o NSW Privacy Commissioner, o Australian Cyber Security Centre, a Tertiary Education Quality and Standards Agency, o National Student Ombudsman e o ID Support NSW. Os funcionários atuais foram notificados no fim de dezembro, as notificações aos ex-funcionários começaram na semana de 19 de janeiro e os ex-alunos foram contatados na semana de 26 de janeiro. Também foram disponibilizados um formulário específico de suporte, aconselhamento e orientações para proteção da identidade.

A universidade recomendou monitorar contas on-line, financeiras e institucionais em busca de atividades incomuns, alterar senhas e usar autenticação multifator sempre que possível. Mensagens que incluam um número de telefone antigo, um endereço ou uma informação sobre o cargo podem parecer confiáveis. Antes de responder a ligações e e-mails que solicitem mais informações pessoais, é importante verificar sua autenticidade por um canal oficial obtido de forma independente.

Nas datas de divulgação e atualização, a universidade afirmou não ter encontrado evidências de que os dados tivessem sido publicados on-line ou usados indevidamente. Essa constatação não anula o download confirmado; ela delimita apenas o uso posterior observado até aquele momento. Suspeitas de uso indevido da identidade podem ser comunicadas às autoridades policiais locais, à equipe de cibersegurança da universidade e a serviços de apoio australianos, como o ID Support NSW ou o IDCARE.

A contagem de pessoas afetadas ou de registros publicada pela fonte oficial representa o escopo informado do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. Como os totais por categoria são aproximados, os últimos dígitos não devem ser interpretados como resultado de uma verificação individual exata. A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas.

Este registro resume o comprometimento confirmado do repositório de código, os arquivos históricos baixados, o total publicado das categorias e as medidas de resposta. Se a investigação produzir uma contagem sem duplicidades ou identificar campos adicionais, o escopo poderá ser atualizado com base no comunicado primário da universidade.