LMU Munique confirma exfiltração de dados bancários de estudantes

O incidente da LMU Munique é um vazamento de dados de matrícula confirmado pela própria instituição, sem reivindicação de autoria e sem evidência de publicação dos dados até a data desta análise. A universidade admitiu explicitamente, via comunicado Art. 34 RGPD, que os dados foram 'presumivelmente extraídos' — linguagem cautelosa, mas suficientemente clara para qualificar o evento como exfiltração confirmada.

O que a LMU admite: acesso não autorizado a um sistema de TI contendo dados de immatrikulation (matrícula); extração presumida desses dados; ausência de modificação ou exclusão; ausência de publicação conhecida até o momento. O que a LMU não divulgou: o vetor de acesso inicial, a duração do acesso não autorizado, o número exato de registros afetados e se ex-estudantes foram incluídos. O que o LKA (Landeskriminalamt da Baviera) diz: está investigando — sem declaração pública sobre suspeitos ou método.

A combinação de dados neste incidente é particularmente nociva: IBAN + nome + endereço + e-mail institucional cria um pacote ideal para spear-phishing financeiro e engenharia social. Diferentemente de senhas ou números de CPF, uma IBAN não pode ser substituída: a conta bancária precisa ser trocada, processo que impõe ônus ao titular, não à instituição. A presença de números do BAföG (programa federal alemão de bolsas estudantis) adiciona outro vetor: manipulação de repasse de benefícios ou fraudes junto a órgãos financiadores.

O ângulo regulatório merece atenção. A crítica do deputado von Brunn mistura dois prazos distintos: o Art. 33 RGPD (72 horas para notificar a autoridade supervisora — no caso, o Bayerischer Landesbeauftragter für den Datenschutz) e o Art. 34 (notificação 'sem demora' aos titulares quando há risco elevado). A LMU invocou o Art. 34 em seu comunicado, mas a análise técnica da netz-trends.de aponta que, até 20/09, nenhuma nota havia sido publicada no site do Bayerischer Landesbeauftragter, e a LMU não confirmou quando acionou o regulador. Este ponto permanece em aberto e é relevante para eventual sanção.

Não há evidência que contradiga a versão da LMU. Nenhum grupo reivindicou o ataque, nenhum dado apareceu em fóruns de venda conhecidos, e a narrativa da universidade é internamente consistente. O que falta não é contradição, mas informação: o número de registros e o vetor de acesso são as duas lacunas centrais que impediriam avaliação de risco mais precisa. A ausência de grupo reivindicador reduz (mas não elimina) a probabilidade de um ator de ransomware estabelecido — pode tratar-se de ator oportunista, insider, ou operação de coleta de inteligência sem motivação financeira imediata.

A LMU tem 52.658 estudantes matriculados no semestre de inverno 2025/26, dos quais 11.658 são internacionais (aproximadamente 22%). O sistema comprometido armazenava dados de matrícula, e a universidade não delimitou se apenas o semestre corrente ou registros históricos foram afetados. No mínimo, os estudantes ativos estão em risco. Os dados incluem IBANs — informação financeira não revogável — o que expõe os afetados a fraudes bancárias diretas, redirecionamento de bolsas e campanhas de phishing altamente personalizadas com referências a dados reais de matrícula. O sistema de matrícula ficou brevemente fora do ar; prazos de inscrição foram prorrogados pela universidade. Ensino e pesquisa não foram interrompidos. O LKA conduz investigação criminal em andamento.