L'établissement a confirmé que l'attaque, survenue le 28 mai, a été rendue possible par une « vulnérabilité de sécurité » désormais corrigée. La plateforme CareerConnect, opérée par la société londonienne Group GTI, est destinée à accompagner les étudiants, anciens élèves et chercheurs dans leur recherche d'emploi ou de stage. L'outil, que GTI commercialise également sous le nom TargetConnect, est utilisé par d'autres universités britanniques et étrangères.
Selon les informations communiquées par l'université, les données compromises comprennent les noms complets et les adresses électroniques des utilisateurs. Pour ceux qui n'utilisent pas l'authentification unique (SSO), les mots de passe, bien que chiffrés, ont également été dérobés. Aucune preuve n'indique que des informations relatives aux cursus, des fichiers téléchargés, des rendez-vous ou des données financières aient été concernées.
Des mots de passe réinitialisés, un risque de hameçonnage identifié
À la suite de l'intrusion, l'université a procédé à une réinitialisation forcée des mots de passe pour plusieurs catégories d'usagers : anciens élèves, personnels de recherche et employeurs. Les étudiants actuellement inscrits n'ont pas été listés parmi les personnes directement touchées, mais un journal étudiant local a rapporté que leurs noms et adresses électroniques pourraient avoir été exposés.
Group GTI n'a pas communiqué publiquement sur les causes précises de la brèche, ni sur le nombre de personnes concernées. L'entreprise n'a pas non plus confirmé si des données avaient été exfiltrées. L'université a toutefois indiqué que GTI considère cette attaque comme ciblant principalement la collecte d'identifiants en vue de tentatives d'hameçonnage.
Un deuxième incident en deux mois
Cette intrusion intervient moins de deux mois après une cyberattaque ayant visé la plateforme d'apprentissage Canvas, exploitée par Instructure et largement utilisée par Oxford. En mai, des pirates avaient dérobé des données sensibles, notamment des travaux d'étudiants et des informations personnelles, forçant l'université à réinitialiser des milliers de mots de passe. Cet incident avait également attiré l'attention du Congrès américain. L'établissement a pris soin de souligner que les deux attaques sont distinctes et ne partagent pas la même origine.
Un rappel des fragilités numériques dans l'enseignement supérieur
La répétition de ces incidents soulève des inquiétudes quant à la sécurité des données au sein des grandes institutions académiques. Oxford n'a pas précisé si les autorités de protection des données avaient été saisies, mais de telles notifications sont obligatoires au Royaume-Uni en cas de risque pour les droits et libertés des personnes concernées.
