L’Université York dit que des renseignements personnels ont été volés dans des formulaires web datant de 2007

L’Université York, à Toronto, dit qu’une personne non autorisée a eu accès à des formulaires en ligne que ses départements utilisaient au quotidien, comme des inscriptions à des réunions, des demandes de résidence et des sondages, et y a volé des renseignements personnels. L’université a découvert l’intrusion le 25 octobre 2026 et a publié un avis public et une FAQ (en anglais) qui énumèrent les départements touchés et les types de données pris. Les formulaires touchés remontent jusqu’à 2007.

Ce qui s’est passé

York dit avoir appris l’incident le 25 octobre, l’avoir contenu rapidement et avoir enquêté avec des experts externes. Selon l’université, l’enquête n’a trouvé aucun signe que l’intrus soit allé au-delà des systèmes touchés vers d’autres parties de son environnement informatique. Un porte-parole de York a dit à CBC News (en anglais) que ces formulaires n’étaient pas reliés aux systèmes principaux de York, comme les admissions, les ressources humaines ou les dossiers étudiants, et que des « améliorations de sécurité » ont été apportées aux formulaires des départements.

York a signalé la fuite au Commissaire à l’information et à la protection de la vie privée de l’Ontario et aux forces de l’ordre. Elle n’a pas dit combien de personnes sont touchées, comment l’intrus est entré ni quand l’accès a commencé. BleepingComputer (en anglais) n’avait trouvé aucun groupe de rançongiciel revendiquant l’attaque au moment de son article.

Ce qui a été pris

La FAQ de York énumère les données volées par département, pour des groupes de personnes plutôt que pour chaque individu. Parmi les départements nommés : le Centre for Refugee Studies, la Faculty of Graduate Studies, la Faculty of Liberal Arts and Professional Studies, la Faculty of Environmental and Urban Change, Housing and Conference Services, la Lassonde School of Engineering et la Schulich School of Business.

York insiste : la liste regroupe tous les champs des formulaires de chaque département, pas ce qui a été pris sur chaque personne, et la plupart des renseignements volés étaient de base : numéros d’identification York et coordonnées. Selon le formulaire, les champs comprennent toutefois :

• nom, adresse courriel, numéro de téléphone et adresse postale
• date de naissance, genre, citoyenneté ou origine
• parcours scolaire et professionnel
• coordonnées de proches ou de tiers
• situation de handicap ou d’accommodement, régime alimentaire et allergies, et renseignements de santé
• situation financière, réponses sur les antécédents juridiques ou criminels, et pour certains formulaires l’origine ethnique, la religion, l’orientation sexuelle, le statut d’Autochtone, des photos ou le statut vaccinal

York précise que les « antécédents juridiques ou criminels » peuvent simplement indiquer qu’une personne n’avait aucun antécédent. Un petit nombre d’autres personnes ont vu des renseignements de pièce d’identité gouvernementale ou de compte financier exposés. York les avise directement par courriel et leur offre deux ans de surveillance du crédit et de protection contre le vol d’identité de TransUnion.

Ce que cela signifie pour vous

Si vous avez rempli un formulaire d’un département de York depuis 2007, vos coordonnées et votre numéro York peuvent faire partie des données volées. Le risque le plus probable est l’hameçonnage ciblé : des messages qui mentionnent une vraie demande de résidence, un événement ou un programme pour paraître crédibles. Pour les personnes dont les formulaires contenaient des réponses sur la santé, un handicap ou l’immigration, ces renseignements restent intimes, même s’ils ne servent pas à ouvrir des comptes.

Ce que vous pouvez faire

1. Consultez la FAQ de York pour voir si un département avec lequel vous avez fait affaire figure dans la liste. Si vous ne savez pas ce qui a été pris à votre sujet, York dit que vous pouvez communiquer avec l’université pour le demander.
2. Méfiez-vous des messages au sujet de York. York dit qu’elle ne vous appellera, ne vous textera et ne vous écrira jamais pour demander un mot de passe, des renseignements bancaires ou un numéro de carte complet. Si vous recevez une telle demande, ne répondez pas ; communiquez avec York au moyen des coordonnées de yorku.ca que vous tapez vous-même.
3. Si York vous écrit au sujet de la surveillance du crédit, inscrivez-vous avec le code de la lettre, et vérifiez l’offre de TransUnion sur le site de TransUnion plutôt que par un lien dans un message transféré.
4. Utilisez des mots de passe forts et uniques et l’authentification multifacteur sur vos comptes York et personnels, comme York le recommande, et surveillez vos relevés bancaires et de carte.
5. Lisez quoi faire après une fuite de données au Canada pour une courte liste, y compris comment porter plainte auprès d’un commissaire à la protection de la vie privée.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Canadian Mennonite University : des NAS exposés sur dix ans de feuillets fiscaux : une autre fuite dans une université canadienne cet automne, où de vieux dossiers étaient aussi en cause.
• Rançongiciel au district scolaire de Burnaby : ce que les familles doivent savoir : une fuite dans le milieu de l’éducation au Canada, touchant des renseignements d’élèves et d’employés.

Sources

• Université York, Cybersecurity Incident: information and FAQ (en anglais), novembre 2026
• CBC News, York University warns of personal data theft in cybersecurity incident (en anglais), novembre 2026
• BleepingComputer, York University breach exposed personal information dating to 2007 (en anglais), novembre 2026