Filtração massiva na Universidade de Nottingham expõe dados pessoais e financeiros de centenas de milhares de estudantes e exalumnos

A Universidade de Nottingham confirmou esta semana um acesso não autorizado ao seu sistema de gestão de estudantes que, segundo análise independentes, afeta centenas de milhares de registros entre alunos atuais e exalumnos. Os incidentes em sistemas administrativos universitários não são isolados: aqui falamos de informação pessoal e financeira sensível que facilita fraudes e suplantações de identidade.

Fontes que revisaram os arquivos filtrados apontam para uma ex-filtração massiva — em torno de 40 GB, conforme exigido pelo grupo autodenominado ShinyHunters — que incluiria dados como nomes, endereços, datas de nascimento, números de telefone, detalhes de pagamento e números de passaporte. O serviço Have I Been Pwned publicou um relatório preliminar que cifra o impacto 454.600 pessoas e detalha a variedade de campos comprometidos; convém consultar para identificar se o seu correio figura entre os afetados https://haveibeenpwned.com/Breach/UniversityOfNottingham.

Este ataque faz parte de uma campanha mais ampla que está explodindo instâncias do Oracle PeopleSoft, uma suíte ERP muito usada em universidades para gerenciar desde propinas até finanças e salários. PeopleSoft é atraente para os atacantes porque concentra dados críticos e, em muitos ambientes, convive com configurações personalizadas e adesivos pendentes, o que multiplica as superfícies de ataque.

O grupo responsável alega ter utilizado cadeias de exploração que combinam vulnerabilidades antigas e falhas não divulgadas; de acordo com informações públicas, a eficácia desses vectores depende em boa medida da configuração concreta de cada instalação. Isto significa que organizações com implantação na nuvem ou híbridos e sem segmentação adequada podem ser especialmente vulneráveis.

Para as pessoas afectadas, as acções imediatas e práticas são claras: rever o acesso a contas bancárias e cartões, activar e reforçar a autenticação multifator, onde for possível, alterar as senhas se partilharem com o correio comprometido e subscreverem alertas de fraude com o seu banco. Também é recomendável consultar serviços de monitoramento de identidade e avaliar a possibilidade de bloqueio ou alerta de fraude nas agências de crédito. Se você acredita que seus documentos oficiais (passaporte, etc.) estão comprometidos, contacte o emitente para conhecer os passos para invalidar ou renovar.

As instituições educativas e fornecedores devem assumir que este tipo de campanhas continuará. As medidas prioritárias incluem a aplicação de adesivos e mitigações conhecidas em todos os ambientes PeopleSoft, a revisão de configurações padrão, segmentar redes, endurecer acessos remotos e aumentar o registo e monitorização para detectar movimentos laterais. É imprescindível também realizar testes de intrusão e simulações de ataque que valdem a detecção e resposta real das equipes de segurança antes de o fazer um atacante.

Do ponto de vista legal e regulamentar, as universidades são obrigadas a notificar lacunas significativas às autoridades como a Information Commissioner's Office no Reino Unido e às forças de segurança pertinentes; Nottingham já informou os reguladores e a polícia. Se a sua organização precisa de orientação sobre gestão de incidentes e notificação, os guias do regulador e do centro nacional de cibersegurança são recursos úteis para projetar respostas proporcionais e conformes https://ico.org.uk/.

Este episódio também encadeia com recentes compromissos de outras universidades, como o incidente que afetou serviços de carreira na Universidade de Oxford, e sublinha uma tendência: os atores de extorsão e filtragem estão apontando fornecedores e plataformas comuns para maximizar o impacto. Você pode ler a nota de Oxford sobre ataques a plataformas educativas em seu comunicado oficial https://www.ox.ac.uk/news/2026-05-08-canvas-incident.

Em suma, estamos perante uma nova amostra de por que a protecção das infra-estruturas críticas de administração deve receber prioridade equivalente à dos sistemas acadêmicos: os dados expostos causam danos reais a indivíduos e reputação institucional. Para os utilizadores: vigile contas e active protecções; para os responsáveis TI: adesivo, segmente e tente detecção e resposta; para os gestores: relatório, comunique com clareza e ofereça suporte aos afectados. A cibersegurança no ensino superior requer investimento sustentado e coordenação entre universidades, fornecedores e reguladores para impedir incidentes como este se tornem norma.