北京
牛津大學上周收到第三方服務商Group GTI的通知，其運營的CareerConnect求職服務平臺遭到入侵。校方隨后對外披露了這起數據泄露事件。
CareerConnect并非牛津獨有。包括倫敦國王學院、曼徹斯特大學在內的多所英國高校，都使用這個平臺搭建各自學校的求職門戶。Group GTI作為系統提供方，此次安全事件的影響范圍顯然不止一所學校。
根據牛津大學公布的細節，攻擊發生在5月28日。入侵者獲取了用戶的名字、姓氏、電子郵件地址，以及未使用單點登錄（SSO）方式注冊的用戶的加密密碼。對于校友、研究人員和雇主用戶，他們在CareerConnect上單獨設置的本地密碼已被GTI作廢，下次登錄時系統會要求重置。
校方在聲明中強調，課程信息、上傳文件、預約記錄、財務數據均未卷入此次事件。GTI方面的判斷是，這次攻擊主要瞄準憑證收集，目的是為后續的網絡釣魚行動做準備。牛津大學同時確認，被攻破的僅限于GTI的第三方系統，大學自身的系統沒有受到牽連，也沒有證據表明學生的密碼或財務信息被訪問過。
但這并不意味著受影響者可以高枕無憂。牛津大學提醒所有CareerConnect用戶——包括在校生、教職工和外部用戶——警惕可能到來的釣魚郵件或詐騙信息。
這不是牛津大學今年第一次面臨數據泄露問題。就在5月初，ShinyHunters勒索團伙攻破了Instructure公司的Canvas學習管理系統，牛津大學正是該系統的用戶之一。黑客當時聲稱從全球8809所院校、學區和在線教育平臺竊取了2.8億條學生和教職員工相關記錄。事后Instructure與這個網絡犯罪團伙達成協議，對方歸還了被盜數據，并提供了證明數據已被銷毀的碎紙日志。牛津大學方面確認自己是受害者之一，但也指出校方系統未被侵入，泄露的數據僅涉及用戶名、Canvas郵箱地址、平臺用戶間的消息往來、課程名稱和選課信息。
從Canvas到CareerConnect，兩次事件間隔僅一個多月，暴露出高校對第三方服務商安全狀況的依賴程度。當BleepingComputer今日早些時候就CareerConnect泄露事件聯系牛津大學發言人時，對方未能立即做出回應。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
