Cybersecurity Incident

La version française suit.

York University is notifying community members of a cybersecurity incident

York was recently subject to a cybersecurity incident involving an unauthorized actor accessing limited online forms used by University departments. While York acted quickly to contain the incident following discovery, we regret to confirm the theft of personal information from some departmental forms.

York has determined which community members are affected and what information was stolen. The University is now notifying affected individuals. Information about the websites and types of personal information involved appears below.

Who is affected and what information was involved

The incident affects individuals who completed online forms on the following York University websites from the year set out below to October 2026.

These forms were used for a wide variety of university business, for example meeting registrations, residence applications, general surveys and many other uses.

The table below outlines the website and all the types of data that were stolen. Please note that the list of data elements is comprehensive: the full list of elements does not apply to all members of a group, and most stolen information was basic information such as York identification numbers and contact information.

“Health information” may include clinical information such as diagnosis and treatment. “Financial status information” may include information about income and debts. "Legal/criminal background information” may simply indicate that one has no criminal background or sanction from an adjudicative or professional body.

There are also a small number of additional affected individuals who the University will directly notify. Members of this group whose government identification information or financial account information was exposed will receive two years of complimentary TransUnion credit monitoring and identity theft protection services. These notifications will be sent by email.

What York has done

The incident came to the University’s attention on October 25, 2026. York acted quickly to contain the incident and began an investigation with the assistance of external experts.

York took immediate steps to contain the incident and has been working with external experts to investigate its scope and remediate the affected systems. The investigation has found no evidence that the unauthorized actor moved beyond the affected systems or gained access to other parts of the University’s IT environment.

York has reported the privacy breach to the Information and Privacy Commissioner of Ontario and reported the incident to law enforcement.

What affected individuals can do

Affected individuals should remain alert for suspicious emails, text messages and telephone calls, particularly communications asking for personal information or directing them to unfamiliar websites. We encourage affected individuals to monitor their financial accounts for unusual activity and to use strong, unique passwords and multi-factor authentication where available.

We recognize that this incident may be concerning to you. We take that seriously and regret these circumstances. The University is committed to learning from this incident and will continue to strengthen its cybersecurity posture, incident readiness, and safeguards for personal information.

Individuals with questions can contact incident@yorku.ca. Further information will be posted at https://www.yorku.ca/uit/infosec/incident-faq/ as appropriate.

Frequently Asked Questions

What happened?

An unauthorized actor accessed some webforms used by departments of York University and took personal information submitted through those forms. York took immediate steps to contain the incident and engaged external experts to investigate.

What has York done in response?

York immediately contained the incident, investigated its scope, reported the privacy breach to the Information and Privacy Commissioner of Ontario, and reported the incident to law enforcement.

Did the unauthorized actor access other York systems?

After thorough investigation, there is no evidence that the unauthorized actor moved beyond the affected systems or gained access to other parts of the University’s IT environment.

What caused the incident?

York continues to investigate. It has implemented responsive security improvements to its web forms pending further consideration.

Was personal information taken? 

Yes. An unauthorized actor accessed and took personal information.

Is every affected person affected by the theft of all of the information listed in the notice?

No. The information affected varies from person to person. Most stolen information was basic information such as York identification numbers and contact information.

How do I know if I am affected?

Review the affected groups and time periods identified in the notice above. If you fall within one of those groups, this publication serves as York’s notification that your information was affected.

Will York contact me directly?

York will directly notify a small number of individuals, including individuals whose government identification information or financial account information was exposed.

How can I find out exactly what information about me was affected?

If you would like to know what specific types of personal information about you were affected, please contact incident@yorku.ca.  York will first need to verify your identity and then review the affected information. Given the number of individuals affected, responding to individual inquiries may take some time.

Who will receive credit monitoring and identity theft protection?

York will provide two years of complimentary TransUnion credit monitoring and identity theft protection to individuals whose government identification information or financial account information was exposed.

What should I do if I receive an offer of credit monitoring?

York encourages eligible individuals to take advantage of the service. Instructions for enrolling will be provided in the direct notification.

Am I at risk?

Identify fraud is regrettably a risk we all bear every day. Most of the stolen information is not the type of information associated with an elevated risk of such fraud. For those whose government identification or financial information was exposed, we are providing two years of complimentary TransUnion credit monitoring and identity theft protection.

What should I do now?

Remain alert for suspicious emails, text messages and telephone calls, particularly communications asking for personal information or directing you to unfamiliar websites. Monitor your financial accounts for unusual activity and use strong, unique passwords and multi-factor authentication where available.

If you receive a direct notification with a credit monitoring offer, we encourage you to enrol.

What should I do if I notice suspicious activity?

Contact the relevant financial institution or service provider promptly. You may also report suspected fraud to the Canadian Anti-Fraud Centre and to York.

What is York doing to prevent this from happening again?

York has implemented responsive security improvements to its web forms pending further consideration.

Will York provide further information?

Further information will be posted at https://www.yorku.ca/uit/infosec/incident-faq/ as appropriate.

Who can I contact with questions?

Individuals with questions can contact incident@yorku.ca.

---

L’Université York informe les membres de sa communauté d’un incident de cybersécurité 

L’Université York a récemment été visée par un incident de cybersécurité au cours duquel un tiers non autorisé a accédé à certains formulaires en ligne utilisés par des départements de l’Université. Dès qu’elle a eu connaissance de l’incident, l’Université a rapidement réagi afin d’en limiter les répercussions. Elle regrette toutefois d’annoncer que des renseignements personnels figurant dans certains formulaires des départements ont été volés. 

Nous avons identifié les membres de notre communauté concernés et réussi à cibler les renseignements volés. L’Université a commencé à informer individuellement les personnes touchées. Pour obtenir des précisions sur les sites Web et les types de renseignements personnels visés par l’incident, consultez le tableau ci-dessous.

Personnes concernées et renseignements personnels en cause

L’incident vise les personnes qui ont rempli des formulaires en ligne sur les sites Web de l’Université York indiqués ci-dessous, entre l’année précisée et octobre 2026.

Ces formulaires étaient utilisés dans le cadre de diverses activités et démarches de l’Université, telles que les inscriptions à des rencontres, les demandes de logement en résidence universitaire et les sondages.

Le tableau ci-dessous répertorie les sites Web touchés et les différents types de renseignements qui ont été volés. Bien que la liste couvre l’ensemble des données susceptibles d’avoir été compromises, chaque personne n’est pas touchée de la même manière. Dans la plupart des cas, les renseignements volés étaient des renseignements de base, comme les numéros d’identification de l’Université York et les coordonnées.

Les « renseignements médicaux » peuvent comprendre des renseignements cliniques, tels que des diagnostics et des traitements. Les « renseignements sur la situation financière » peuvent porter sur les revenus et les dettes. Les « renseignements sur les antécédents criminels et disciplinaires  » peuvent simplement indiquer qu’une personne n’a aucun antécédent criminel ou ne fait l’objet d’aucune sanction imposée par un organisme juridictionnel ou un ordre professionnel.

L’Université communiquera également avec un autre groupe de personnes touchées par l’incident. Ces personnes dont les renseignements d’identification officiels ou les données relatives à leurs comptes financiers ont été compromis auront accès gratuitement, pendant deux ans, aux services de surveillance du crédit et de protection contre le vol d’identité de TransUnion. Elles recevront un courriel.

Mesures prises par l’Université York

Après avoir été informée de l’incident le 25 octobre 2026, l’Université York a rapidement réagi pour circonscrire l’incident et a entrepris une enquête avec l’aide de spécialistes externes.

Depuis, elle travaille en étroite collaboration avec ces spécialistes afin de déterminer l’ampleur de l’incident et de rétablir la sécurité des systèmes touchés. Aucun élément n’indique que le tiers non autorisé ait accédé à d’autres systèmes que ceux touchés ou à d’autres composantes de l’environnement informatique de l’Université.

L’Université York a également signalé l’incident de confidentialité au Commissaire à l’information et à la protection de la vie privée de l’Ontario ainsi qu’aux autorités policières.

Précautions à prendre par les personnes concernées

Nous invitons les personnes concernées à faire preuve de vigilance lorsqu’elles reçoivent des courriels, des textos ou des appels téléphoniques suspects, surtout si ces communications leur demandent de fournir des renseignements personnels ou de consulter des sites Web qu’elles ne connaissent pas. Nous leur recommandons également de surveiller leurs comptes financiers afin de repérer toute activité inhabituelle et d’utiliser des mots de passe robustes et uniques ainsi que l’authentification multifacteur, lorsque cette option est offerte.

Nous avons conscience que cet incident peut susciter des inquiétudes. Nous prenons ces préoccupations très au sérieux et regrettons sincèrement ces circonstances. L’Université entend tirer les leçons de cet incident et continuer de renforcer ses mesures de cybersécurité, sa capacité de préparation et d’intervention en cas d’incident, ainsi que les mécanismes de protection des renseignements personnels. 

Pour toute question, écrivez à incident@yorku.ca. Les nouvelles informations seront publiées à l’adresse suivante : www.yorku.ca/uit/infosec/incident-faq/

Foire aux questions

Que s’est-il passé?

Un tiers non autorisé a accédé à des formulaires Web utilisés par des unités de l’Université York et a volé certains des renseignements personnels qui y avaient été transmis. L’Université York a rapidement pris des mesures pour circonscrire l’incident et a fait appel à des spécialistes externes pour mener une enquête.

Quelles mesures l’Université York a-t-elle prises en réponse à l’incident?

L’Université York a immédiatement circonscrit l’incident et entrepris d’en évaluer l’ampleur. Elle a également signalé l’incident de confidentialité au Commissaire à l’information et à la protection de la vie privée de l’Ontario ainsi qu’aux autorités policières.

Le tiers non autorisé a-t-il accédé à d’autres systèmes de l’Université York?

À la suite d’une enquête approfondie, rien n’indique que le tiers non autorisé ait accédé à d’autres systèmes que ceux touchés par l’incident ou à d’autres composantes de l’environnement informatique de l’Université.

Comment cet incident s’est-il produit?

L’Université York poursuit son enquête. Dans l’attente des conclusions, elle a apporté des améliorations à la sécurité de ses formulaires Web.

Des renseignements personnels ont-ils été volés? 

Oui. Un tiers non autorisé a consulté et volé des renseignements personnels.

Les personnes touchées se sont-elles fait voler tous les renseignements mentionnés dans l’avis?

Non. Les renseignements volés varient d’une personne à l’autre. Dans la plupart des cas, il s’agissait de renseignements de base, comme les numéros d’identification de l’Université York et les coordonnées.

Comment savoir si mes renseignements personnels ont été compromis?

Consultez la liste des groupes concernés et les périodes indiquées dans l’avis ci-dessus. Si vous faites partie de l’un de ces groupes, vos renseignements personnels sont touchés par cet incident.

L’Université York communiquera-t-elle directement avec moi?

L’Université communiquera directement avec certaines personnes, notamment celles dont les renseignements d’identification officiels ou les données relatives à leurs comptes financiers ont été compromis.

Comment savoir précisément quels renseignements personnels me concernant ont été compromis?

Pour obtenir des précisions sur les renseignements personnels vous concernant qui ont été compromis, écrivez à incident@yorku.ca. L’Université York devra d’abord vérifier votre identité, avant d’examiner vos renseignements. Compte tenu du nombre de personnes touchées, le traitement des demandes individuelles pourrait prendre un certain temps.

Qui pourra bénéficier des services de surveillance du crédit et de protection contre le vol d’identité?

L’Université York offrira gratuitement, pendant deux ans, les services de surveillance du crédit et de protection contre le vol d’identité de TransUnion aux personnes dont les renseignements d’identification officiels ou les données relatives à leurs comptes financiers ont été compromis.

Que dois-je faire si je reçois une offre de surveillance du crédit?

L’Université York encourage les personnes admissibles à profiter de ces services. Les modalités d’inscription leur seront communiquées directement dans l’avis qu’elles recevront.

Est-ce que je risque quelque chose?

Malheureusement, nous sommes tous exposés quotidiennement au risque de fraude liée à l’identité. Toutefois, la plupart des renseignements volés ne sont pas susceptibles d’accroître ce risque. Les personnes dont les renseignements d’identification officiels ou les données relatives à leurs comptes financiers ont été compromis bénéficieront gratuitement, pendant deux ans, des services de surveillance du crédit et de protection contre le vol d’identité de TransUnion.

Quelles mesures dois-je prendre dès maintenant?

Faites preuve de vigilance lorsque vous recevez des courriels, des textos ou des appels téléphoniques suspects, surtout si ces communications vous demandent de fournir des renseignements personnels ou de consulter des sites Web que vous ne connaissez pas. Surveillez vos comptes financiers afin de repérer toute activité inhabituelle. Utilisez des mots de passe robustes et uniques ainsi que l’authentification multifacteur, lorsque cette option est offerte.

Si vous recevez un avis vous proposant des services de surveillance du crédit, nous vous encourageons à vous y inscrire.

Que dois-je faire si je remarque une activité suspecte?

Communiquez sans tarder avec l’institution financière ou le fournisseur de services concerné. Vous pouvez également signaler toute fraude présumée au Centre antifraude du Canada ainsi qu’à l’Université York.

Quelles mesures sont prises pour prévenir de futurs incidents?

Dans l’attente des conclusions de son enquête, l’Université York a apporté des améliorations à la sécurité de ses formulaires Web.

De nouvelles informations seront-elles communiquées?

Les nouvelles informations seront publiées à l’adresse suivante: https://www.yorku.ca/uit/infosec/incident-faq/

À qui puis-je m’adresser si j’ai des questions?

Pour toute question, écrivez à incident@yorku.ca.