Утечка данных York University в Канаде охватила сведения, которые люди оставляли в онлайн-формах университетских сайтов с 2007 по 2026 год. В выборке могли оказаться не только e-mail и телефоны, но и документы, финансовые данные, сведения о здоровье и судимостях — показательный риск для любой организации, годами накапливающей данные в «временных» веб-формах.
Университет Йорка в Торонто сообщил об обнаружении несанкционированного доступа 25 октября. Злоумышленник получил доступ к персональной информации, переданной через формы на 14 университетских сайтах. По данным BleepingComputer, инцидент затронул формы, которыми пользовались разные подразделения вуза почти два десятилетия. Это важно: атакована не единая современная система, а распределённый слой веб-сервисов, который обычно живёт дольше планов по его замене.
York University — крупный канадский университет: более 55,7 тыс. студентов, около 200 программ бакалавриата и магистратуры и 7 тыс. сотрудников административного аппарата. При таком масштабе формы могут обслуживать поступление, кадровые процессы, обращения в службы поддержки, программы помощи и работу с внешними контактами. Университет не назвал число пострадавших и не раскрыл, каким способом атакующий проник в системы. Также на момент публикации не было заявлений группировок, связывающих себя с атакой.
Список потенциально скомпрометированных данных длиннее обычного набора для неприятного, но рядового фишинга. В него вошли адреса электронной почты, телефоны, даты рождения, идентификаторы York University, государственные документы, контакты третьих лиц, медицинские сведения, академическая и трудовая история, данные о финансовом положении, криминальном прошлом, демографические данные, фотографии и другие изображения. Для большинства записей, по словам университета, речь идёт о базовых контактах и университетских идентификаторах. Но ценность утечки определяется не средним случаем, а наиболее чувствительными комбинациями полей.
Например, e-mail вместе с датой рождения, местом учёбы и номером внутреннего идентификатора помогает собрать правдоподобное письмо от имени деканата или кадровой службы. Если к этому добавлены данные о финансах либо документы, последствия выходят за пределы спама: повышается риск захвата учётных записей, мошенничества с личностью и адресных звонков в поддержку. Старые записи здесь особенно неудобны. Человек мог давно закончить вуз или сменить контакты, но часть сведений всё ещё пригодна для подтверждения личности в чужом разговорном сценарии.
Университет заявил, что затронутые веб-формы теперь защищены и ими можно пользоваться. Людям, чьи государственные идентификаторы или данные финансовых счетов были затронуты, York University пообещал персональные уведомления, а также два года мониторинга кредитной истории и защиты от кражи личности. Тем, кто уведомления не получил, предложено обратиться в университет и уточнить, какие именно категории информации присутствовали в их случае. Такая формулировка оставляет важную операционную деталь: отсутствие письма не означает автоматически, что данные не попали в массив, — оно может означать, что в записи не нашли самые чувствительные поля.
Для разработчиков и владельцев цифровых сервисов утечка данных York University — напоминание о неприятной архитектурной реальности. Формы часто создают под конкретную кампанию, факультет или внутренний процесс, а затем они остаются в продакшене без общего владельца, инвентаризации и сроков хранения. Безопасность в таком случае нельзя свести к проверке главного сайта: нужно знать все публичные точки сбора данных, назначение каждого поля, где лежат отправки, кто имеет к ним доступ и когда записи должны быть удалены. Отдельная задача — не собирать «на всякий случай» сканы документов, историю здоровья или сведения о финансах в форме, которую можно заменить защищённым кабинетом или очной верификацией.
Бизнесу стоит рассматривать подобные формы как полноценные системы обработки персональных данных, даже если интерфейс состоит из пяти полей и кнопки отправки. Нужны журналирование доступа, регулярная ревизия старых сайтов, минимизация собираемых данных, изоляция вложений, контроль доступа подрядчиков и понятный процесс уведомления пользователей. В противном случае старая веб-анкета превращается в архив, ценность которого растёт вместе со сроком хранения, а владелец вспоминает о нём уже после инцидента.
Главный открытый вопрос в истории York University — как глубоко атакующий успел пройти по массивам форм и сколько людей затронула утечка. Но даже без этой цифры случай показывает тренд: периметр организации определяют не только облака, корпоративные системы и API, но и десятки малозаметных страниц, созданных за годы разными командами. Их аудит обычно выглядит скучной работой — ровно до тех пор, пока 19 лет накопленных данных не оказываются чужими.
