Cosa è successo?
L'Università Ludwig-Maximilians (LMU) di Monaco è stata vittima di un attacco informatico nel corso del quale sono stati sottratti dati personali degli studenti. Secondo quanto dichiarato dall'ateneo stesso, sono stati copiati "dati anagrafici relativi alle immatricolazioni". L'università non ha reso noto quanti record di dati siano effettivamente coinvolti. Attualmente alla LMU risultano iscritte circa 52.000 persone.
Secondo quanto riportato dall'emittente Bayerischer Rundfunk (BR), l'attacco è stato scoperto mercoledì di questa settimana. Al momento non sono ancora noti i dettagli relativi al vettore d'attacco esatto e alla durata dell'accesso non autorizzato rimasto inosservato.
I dettagli
Secondo quanto riferito dalla LMU, sembra che siano stati copiati dai sistemi dell'università set di dati completi relativi all'immatricolazione. Tra questi figurano, tra l'altro:
- Nome, data di nascita e indirizzo
- Indirizzi e-mail
- Dati bancari come IBAN e intestatario del conto
- Numeri BAföG (sussidio statale allo studio)
- Dati relativi all'assicurazione sanitaria
Secondo quanto dichiarato dall'università, i sistemi interessati sono stati scollegati dalla rete e isolati. Inoltre è stato potenziato il monitoraggio della sicurezza ed è stata avviata un'indagine forense. Secondo il BR, nel frattempo sta indagando anche l'Ufficio bavarese di polizia criminale (Landeskriminalamt).
La LMU intende riprendere a breve le procedure di immatricolazione per il semestre invernale, che inizia il 12 ottobre; le relative scadenze saranno prorogate. L'università assicura che agli studenti "non deriverà alcuno svantaggio per il proprio percorso di studi".
Secondo quanto accertato finora dalla LMU, non si tratterebbe di un classico attacco ransomware. Non ci sarebbero "indicazioni che l'aggressore abbia pubblicato, intenda pubblicare o utilizzare in altro modo in maniera illecita i dati sottratti". Inoltre, specialisti del settore starebbero monitorando i portali del dark web pertinenti.
Analisi
L'episodio dimostra ancora una volta quanto i sistemi informatici delle università risultino attraenti per gli aggressori: gli atenei gestiscono grandi quantità di dati personali estremamente sensibili, spesso attraverso infrastrutture IT complesse e stratificate nel tempo, con numerose interfacce e sistemi legacy. I dati di immatricolazione risultano particolarmente critici, poiché oltre ai classici dati anagrafici comprendono anche informazioni finanziarie come le coordinate bancarie.
Particolarmente rilevante è la combinazione dei dati sottratti: con nome, data di nascita, indirizzo, coordinate bancarie e dati assicurativi, gli aggressori dispongono praticamente di tutto ciò che serve per furti d'identità o truffe mirate. Anche se al momento la LMU esclude una pubblicazione o un utilizzo illecito dei dati, resta il rischio di attacchi di phishing mirati. L'università non definisce esplicitamente lo scenario d'attacco come phishing, ma visti i dati sottratti il pericolo di attacchi successivi di questo tipo appare plausibile: i criminali, conoscendo il percorso formativo delle vittime, potrebbero infatti guadagnarsi più facilmente la loro fiducia.
Consigli pratici
Per le persone coinvolte e per il personale universitario, dall'episodio emergono diverse raccomandazioni operative:
- Maggiore attenzione verso e-mail o telefonate che fanno riferimento al percorso di studi, in particolare se viene richiesto di fornire dati bancari o credenziali di accesso.
- Non comunicare mai dati bancari o password su semplice richiesta, anche se il contatto appare affidabile e vengono citati correttamente dati personali.
- Controllare con particolare attenzione i movimenti e gli estratti conto bancari nelle prossime settimane e nei prossimi mesi.
- Seguire le comunicazioni ufficiali della LMU relative all'incidente, poiché potrebbero arrivare ulteriori informazioni sulla portata e sulla dinamica dell'attacco.
- Segnalare eventuali tentativi di contatto sospetti all'università o alle autorità investigative.
Prospettive
Le indagini forensi della LMU e quelle dell'Ufficio bavarese di polizia criminale sono tuttora in corso. Finora non sono noti né il preciso percorso d'attacco né la durata dell'accesso non rilevato. Resta da vedere quali ulteriori dettagli l'università renderà noti nei prossimi giorni, ad esempio riguardo al numero esatto delle persone coinvolte o all'origine dell'attacco.
Per quanto riguarda l'immatricolazione al semestre invernale, la LMU ha già tratto le conseguenze del caso annunciando una proroga delle scadenze, in modo da non penalizzare gli studenti nonostante l'isolamento dei sistemi. Il caso, inoltre, è destinato a riaccendere il dibattito sulla sicurezza informatica nelle università tedesche, i cui sistemi devono spesso essere protetti da attacchi sempre più professionali con risorse limitate.
