ATTACCHI · VIOLAZIONE DI DATI PERSONALI
York University, ottobre 2026: vent'anni di moduli online
Il 25 ottobre 2026 la York University di Toronto ha scoperto un accesso non autorizzato ai moduli online usati dai dipartimenti su 14 suoi siti. Sono stati sottratti dati inviati tra il 2007 e il 2026, che per alcune persone comprendono documenti d'identità, dati sanitari, situazione finanziaria e precedenti penali.
- Vittima
- York University
- Settore
- Istruzione
- Paese
- Canada
- Data
- 25 ottobre 2026
- Categoria
- Violazione di dati personali
- Causa
- Non nota
- Attore
- Non identificato. Non identificato
- Scenari di danno
- Notifica e responsabilità privacy
Le cause in breve
- Moduli online. L'accesso ha riguardato moduli online usati dai dipartimenti su 14 siti dell'università (BleepingComputer).
- Dati conservati a lungo. I moduli contenevano invii a partire dal 2007 (BleepingComputer).
L'impatto
- Esposti email, telefoni, date di nascita, numeri di matricola e documenti d'identità (BleepingComputer).
- Per alcune persone dati sanitari, carriera, lavoro, situazione finanziaria, precedenti penali e foto (BleepingComputer).
- La maggior parte dei record contiene solo contatti e matricola; numero di persone non comunicato (BleepingComputer).
- Nessun gruppo ha rivendicato l'attacco alla data dell'articolo (BleepingComputer).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine, consulenza legale e notifiche rientrano nella risposta all'incidente.
- Ripristino di dati e sistemiRispondeLa messa in sicurezza dei moduli rientra nel ripristino.
- Business interruption propriaNon pertinenteLe fonti non riportano un fermo delle attività.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneNon pertinenteLe fonti non riportano una richiesta di riscatto.
- Notifica e responsabilità privacyRispondeRisponde per i dati personali e sanitari esposti.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeLe richieste di studenti, dipendenti e terzi rientrano nella garanzia.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Conservazione dei dati. Dati tenuti per quasi vent'anni senza necessità possono pesare sulle sanzioni e sulla valutazione del rischio.
- Ente pubblico. Le università canadesi possono essere assicurate tramite consorzi con limiti propri.
- Sanzioni. Le sanzioni dei garanti sono assicurabili solo dove la legge lo consente.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Pochi effetti operativi, ma dati molto sensibili raccolti in quasi vent'anni.
Nessun segnale di cumulo.