York University i Toronto drabbas av dataintrång via vanliga webbformulär

York-universitetet i Toronto utreder ett it-säkerhetsincidem där en obehörig aktör stal personuppgifter från webbformulär på ett antal av universitetets webbplatser. Formulären — bland annat ansökningar till studenthem och enkäter — samlade in uppgifter från 2007 fram till oktober 2026. Intrånget upptäcktes den 25 oktober, och ett mindre antal personer fick sina myndighetshandlingar eller bankuppgifter exponerade.

Universitetet uppger att intrånget begränsades till en specifik lista webbplatser och fakulteter, som publicerats online, och att utredarna inte funnit några spår av att aktören rört sig vidare från formulären till andra delar av verksamheten. Externa experter anlitades, och händelsen har anmälts till Ontarios myndighet för integritetsskydd samt till polisen. När själva intrånget skedde har universitetet inte uppgett.

Det som är värt att notera är att ingången inte var ett forskarkluster eller ett betalningssystem utan vanliga webbformulär — just den typ av underhåll som ingen äger och som tyst ackumuleras i decennier. Nitton års inlämnade uppgifter passerade genom dem, och när den obehöriga insamlingen påbörjades vill universitetet inte säga. Drabbade kontakas direkt och uppmanas övervaka sina bankkonton och "vara uppmärksamma på misstänkta e-postmeddelanden, sms och telefonsamtal, särskilt sådana som ber om personuppgifter".

De personer vars myndighets- eller bankuppgifter exponerades erbjuds två års kostnadsfri kreditövervakning hos TransUnion samt skydd mot identitetstjuveri. I sitt uttalande konstaterar universitetet att det förstår att händelsen "kan orsaka oro", att man tar den på allvar och beklagar omständigheterna. Svaret följer den etablerade mallen: externa experter, en tillsynsmyndighet, polisen, kreditövervakning — medan den löpande kostnaden för vaksamhet läggs på dem whose uppgifter stals. Det är ett mönster som återkommer överallt i väst: institutionen bär inget ansvar efter det att den egna försummelsen — nitton år av ostrukturerat datalagrande — väl är konstaterad. Skadan hanteras, orsaken granskas inte.

York upptäckte intrånget den 25 oktober. De drabbade formulären går tillbaka till 2007.