Universidade Vanderbilt confirma ciberataque após grupo BYOD reivindicar roubo de um milhão de números do Seguro Social

A Universidade Vanderbilt confirmou, em 9 de novembro de 2026, que está respondendo a um incidente ativo de cibersegurança que afeta dispositivos do campus, sistemas e serviços em nuvem, horas depois de o grupo de ransomware BYOD publicar uma reivindicação afirmando ter roubado mais de um milhão de números do Seguro Social, além de nomes, endereços de e-mail, números de telefone e registros de estudantes, funcionários e pesquisadores da instituição sediada em Nashville.

A divulgação coloca Vanderbilt em uma lista crescente de universidades atingidas por grupos de ransomware em busca dos grandes volumes de dados pessoais e financeiros que as instituições de ensino acumulam por meio de seus sistemas de auxílio financeiro, folha de pagamento, admissões e bolsas de pesquisa. As redes universitárias também são notoriamente difíceis de proteger: milhares de dispositivos pessoais, departamentos de TI descentralizados distribuídos entre unidades acadêmicas e orçamentos limitados para ferramentas de segurança corporativa tornam os campi alvos muito mais fáceis do que empresas convencionais.

De acordo com o BleepingComputer, que analisou a foto de uma nota de resgate deixada em uma tela conectada à rede de Vanderbilt e um vídeo de máquinas infectadas reproduzindo uma mensagem de áudio identificando os atacantes, a nota — intitulada README_BYOD_31.txt — afirma que o grupo detém «todos os seus dados, incluindo seus backups», além de números do Seguro Social arquivados, datas de nascimento, endereços residenciais e cargos de estudantes, professores e funcionários. O BleepingComputer verificou de forma independente que o link incorporado na nota leva ao site de vazamentos do BYOD na dark web.

Vanderbilt orientou estudantes, professores e funcionários a desligar os dispositivos pertencentes à universidade, se desconectarem do Wi-Fi do campus e ficarem atentos a atividades suspeitas, alertando que qualquer pessoa que notar sinais de comprometimento não deve tentar resolver o problema por conta própria, mas sim desligar o dispositivo e entrar em contato com o suporte de TI da universidade. A instituição não confirmou que algum dado tenha sido efetivamente roubado, que sistemas tenham sido criptografados ou que o BYOD seja o grupo responsável — limitando-se a descrever a situação como um «incidente ativo de cibersegurança» em investigação.

O BYOD é uma operação de extorsão relativamente recente, que surgiu pela primeira vez em 2026 e construiu seu curto histórico quase exclusivamente em torno dos setores de ensino superior e saúde. O grupo já reivindicou a responsabilidade por um ataque em outubro ao Health Sciences Center da Universidade do Novo México, que segundo os relatos interrompeu as operações do hospital, e lista diversas outras organizações em seu site de vazamentos ao lado de Vanderbilt.

Se as alegações do grupo se confirmarem, Vanderbilt se tornará uma das maiores violações de dados universitárias do ano em volume de números do Seguro Social expostos, colocando-a ao lado de recentes mega-incidentes em outras faculdades e departamentos estaduais de educação dos EUA. Para as dezenas de milhares de estudantes atuais, ex-alunos, professores e funcionários cujos registros Vanderbilt mantém, um vazamento rico em números do Seguro Social aumenta o risco de fraude fiscal e roubo de identidade muito tempo depois de qualquer disputa de resgate ser resolvida — um risco que normalmente persiste independentemente de a instituição pagar ou não. Escritórios de advocacia especializados em ações coletivas costumam agir rapidamente após esse tipo de divulgação, e Vanderbilt provavelmente enfrentará pressão para oferecer monitoramento de crédito assim que confirmar o escopo do que foi roubado.

Conforme relatado pelo BleepingComputer, Vanderbilt ainda não informou quando o acesso normal aos sistemas universitários será restabelecido nem se planeja notificar diretamente os indivíduos afetados.