Oxford

オックスフォード大学は先週、外部プロバイダーであるGroup GTIから、同大学のキャリアサービスプラットフォーム「CareerConnect」が不正アクセスを受けたとの報告を受け、新たなデータ漏洩を公表した。

このプラットフォームは、キングス・カレッジ・ロンドンやマンチェスター大学など、英国の他の教育機関でも、各大学独自のキャリアハブを運営するために利用されている。

1096年に設立されたオックスフォード大学は、43の自治カレッジからなるカレッジ制の研究大学であり、2万6,000人以上の学生と5,900人以上の研究・教育・研究支援スタッフを擁し、英語圏で最も古い大学である。

image

オックスフォード大学によると、5月28日に「CareerConnect」プラットフォームが攻撃を受け、攻撃者はユーザーの氏名、メールアドレス、および暗号化されたパスワード（シングルサインオン（SSO）を使用せずにログインするユーザーのもの）にアクセスしたとのことです。

「卒業生、研究スタッフ、および雇用主のユーザーは、CareerConnect上でローカルに設定されたパスワードを使用してCareerConnectにアクセスしています。これらのパスワードはGTIによって無効化されており、ユーザーは次回ログイン時にパスワードの再設定を求められます」と同大学は述べた。

「今回の事案において、履修情報、アップロードされたファイル、面談情報、または財務情報が関与した証拠はありません。GTIは、この侵害は認証情報の収集を目的としたものであり、フィッシング攻撃につながる可能性があるとしています。」

同大学は、この事象がGTIのサードパーティ製システムにのみ影響を及ぼしたものであり、大学のシステムが侵害された証拠はないと指摘した。さらに、GTIおよび同大学は、学生のパスワードや財務情報へのアクセスがあった証拠も確認していない。

また、教職員、学生、および外部のCareerConnectユーザーに対し、フィッシングや詐欺メールの標的となる可能性があるとして注意を呼びかけた。

「影響の範囲については、引き続きGTIと連絡を取り合っています」と、本件の詳細について尋ねられた際、大学の広報担当者は語った。「GTIから提供された情報には、これがランサムウェア攻撃であったことを示唆するものは何もありません。犯行の帰属、犯行声明、または関連事項に関する情報は一切ありません。」

これは、オックスフォード大学が今年公表した2件目のデータ侵害事件となる。これに先立ち、5月初旬には、同大学が利用しているInstructure社の学習管理システム（LMS）「Canvas」が、恐喝グループ「ShinyHunters」による侵害を受けていた。

攻撃後、ハッカーらは世界中の8,809の大学、学区、オンライン教育プラットフォームから、学生および職員に関連する2億8,000万件の記録を盗んだと主張した。インストラクチャー社は、ハッカーらが盗んだデータを返還し、その破棄を確認するシュレッダー処理ログを提供したとして、このサイバー犯罪グループと合意に達した。

オックスフォード大学は、同大学が被害を受けた機関の一つであることを確認した。また、同大学のシステムは侵害されておらず、流出したデータはユーザー名、Canvasのメールアドレス、プラットフォーム上でユーザー間でやり取りされたメッセージ、コース名、およびコース登録情報に限定されていると付け加えた。

6月8日 12:07 EDT 更新：オックスフォード大学の声明を追加。