L’université LMU de Munich signale un accès non autorisé aux données d’immatriculation de ses étudiants
L’université Ludwig-Maximilian de Munich (LMU) annonce le 19 septembre qu’un attaquant a accédé à des données d’immatriculation stockées dans l’un de ses systèmes. Elle doit supposer que ces données ont été consultées et conseille la vigilance aux personnes concernées.
Pour les pros
Pour les professionnels
Le contexte
La LMU informe, en application de l’article 34 du RGPD, de ce qu’elle sait de l’incident. Un attaquant a accédé aux données de base d’immatriculation conservées dans un système informatique ; l’université part du principe qu’elles ont été consultées, sans modification. Les catégories concernées sont l’identité, les coordonnées, les données bancaires (IBAN, titulaire), parfois le numéro d’assurance maladie, le numéro BAföG et le parcours. Les informations d’examens ne sont pas touchées.
Ce qui s'est passé, jour après jour
La LMU publie son information sur l’incident : accès non autorisé aux données d’immatriculation, avec une exposition possible de données bancaires.
Elle indique avoir isolé immédiatement le serveur concerné, fait appel à des spécialistes en investigation et alerté les autorités compétentes.
L’enquête technique et criminalistique se poursuit avec la police criminelle régionale (Landeskriminalamt) ; l’immatriculation doit reprendre la semaine suivante après une courte interruption.
Qui est concerné
- LMU Munich
- Landeskriminalamt
À faire, dans l'ordre
Personnes concernées : ne pas ouvrir de pièces jointes ni de liens dans des courriels, même apparemment personnalisés ou venus d’expéditeurs connus, sans vérification.
Se méfier de tout contact par courriel, téléphone ou message qui évoque l’université ou les études, et ne jamais communiquer mot de passe ni données bancaires.
Surveiller les relevés du compte dont l’IBAN a été communiqué à l’université et signaler à la banque tout prélèvement inconnu.
Établissements : cloisonner les systèmes d’inscription, les isoler dès les premiers signes et préparer la notification prévue par le RGPD.
En clair
Pour tout le monde
L’université de Munich a prévenu ses étudiants : quelqu’un a réussi à entrer dans un de ses systèmes et à consulter les fiches remplies à l’inscription. On y trouve le nom, l’adresse, les coordonnées et parfois l’IBAN. L’université n’a, pour l’instant, aucun signe que ces données aient été publiées. Si vous êtes concerné, méfiez-vous des courriels ou appels qui parlent de vos études, n’ouvrez pas de pièces jointes douteuses et ne donnez jamais mot de passe ni coordonnées bancaires.
Ce que ça change dans le Pacifique
Nouvelle-Calédonie, Polynésie française, Wallis-et-Futuna
Aucun lien avec le Pacifique n’est établi à ce jour : la source ne mentionne aucun territoire. Les établissements d’enseignement de la région gèrent les mêmes types de données à l’inscription (identité, coordonnées, coordonnées bancaires), d’où l’intérêt de la même hygiène : isoler vite un système touché et prévenir clairement les personnes concernées.
Réseau de sources
Qui a relevé l’alerte, et quelles autorités la documentent.
- Information de l’université
Sources (1)
- Information de l’universitéAutoritéLMU München, Information über einen Datenschutzvorfall (site externe, nouvel onglet)lmu.de