Утечка данных Columbia University (пострадали 3,1 миллиона человек)

В записи генерального прокурора Техаса указан период доступа с 16 мая по 24 июня 2025 года. После сбоя 24 июня Columbia принял меры по защите своих систем, привлёк сторонних специалистов по кибербезопасности и сообщил, что дальнейшего несанкционированного доступа к сети не наблюдалось.

Университет начал рассылать первые уведомления в августе 2025 года, а в 2026 году завершил более масштабную проверку и рассылку дополнительных уведомлений. В записи Техаса в поле даты обнаружения указано 8 июля, это отражает более поздний этап расследования. При этом 24 июня остаётся датой оперативного обнаружения, о которой сообщил университет.

В первоначальном сообщении регулятору в 2025 году была указана более узкая группа из 868 969 человек. Дальнейшая проверка выявила сведения о людях, напрямую не связанных с Columbia, которые ранее передавались в рамках набора студентов или предоставления стипендий. В результате общее число пострадавших в актуальной записи Техаса выросло до 3 067 242.

Ars Technica сообщает, что были затронуты около 1,8 миллиона номеров социального страхования. Это подмножество пострадавших, выделенное по конкретному типу данных. Число людей в первоначальном уведомлении, актуальное общее число пострадавших по стране и число людей с затронутыми номерами социального страхования не суммируются.

В зависимости от человека затронутые сведения могут включать имена, адреса, даты рождения, номера социального страхования, водительские удостоверения или другие государственные удостоверения личности, сведения о финансовых счетах, медицинском страховании и некоторые сведения о здоровье, а также информацию о поступлении, зачислении, истории обучения и финансовой помощи.

Хотя в официальном уведомлении упоминаются некоторые сведения о здоровье, в нём говорится об отсутствии доказательств того, что были затронуты медицинские записи пациентов медицинского центра. Не следует считать, что у каждого человека затронуты данные из всех категорий. Получателям персональных уведомлений следует ориентироваться на перечень сведений в собственных письмах.

Номера социального страхования, даты рождения и сведения из государственных удостоверений личности в сочетании с информацией об истории обучения или финансовой помощи могут сделать более убедительными мошеннические попытки получить кредит, провести налоговые операции, оформить стипендию или восстановить доступ к аккаунту.

Получателям уведомлений следует следить за кредитными отчётами, рассмотреть возможность заморозки кредитной истории или установки предупреждения о возможном мошенничестве, а также проверять аккаунты налоговых служб и программ помощи студентам на неожиданные изменения. Подключаться к сервису мониторинга Columbia следует только через официальный канал, указанный в уведомлении.

Злоумышленники могут использовать реальные сведения об учебном заведении, заявлении на поступление, зачислении или финансовой помощи в поддельных сообщениях о стипендиях, недостающих документах, возврате сборов, задолженности или проверке аккаунта. Верные персональные данные не доказывают, что отправитель представляет университет.

Самостоятельно проверяйте любые запросы на оплату, предоставление документов или подтверждение личности через официальный домен Columbia либо другой ранее известный вам канал. Не используйте для проверки ссылку, номер телефона или вложение из неожиданного сообщения.

Обнаруженное совпадение, связанное с этим инцидентом, достаточный повод проверить перечень сведений в собственном уведомлении и принять соответствующие меры для защиты личности, кредитной истории и аккаунтов, связанных с обучением. Оно не доказывает, что у этого человека были затронуты данные из всех категорий или что данные использовались в неправомерных целях.

Отрицательный результат не гарантирует, что запись не фигурирует в другом инциденте. Всем, кто получил персональное уведомление от Columbia, следует соблюдать указанные в нём сроки и принимать рекомендованные меры защиты, даже если сейчас они никак не связаны с университетом.