Co się stało?
Uniwersytet Ludwika i Maksymiliana (LMU) w Monachium padł ofiarą cyberataku, w wyniku którego wyciekły dane osobowe studentów. Według własnych informacji uczelni skopiowano „dane podstawowe dotyczące immatrykulacji”. Uniwersytet nie podał, ile dokładnie rekordów danych zostało dotkniętych. Obecnie na LMU zapisanych jest około 52 000 osób.
Jak podaje raport Bayerischer Rundfunk (BR), atak wykryto w środę tego tygodnia. Szczegóły dotyczące dokładnego wektora ataku oraz czasu trwania niezauważonego dostępu nie są jak dotąd znane.
Szczegóły
Według informacji LMU, z systemów uniwersyteckich skopiowano najwyraźniej kompletne zestawy danych dotyczących immatrykulacji. Należą do nich między innymi:
- Imię i nazwisko, data urodzenia oraz adres
- Dane kontaktowe e-mail
- Dane bankowe, takie jak IBAN i dane posiadacza konta
- Numery BAföG
- Informacje dotyczące ubezpieczenia zdrowotnego
Według uniwersytetu dotknięte systemy zostały odłączone od sieci i odizolowane. Ponadto rozszerzono monitoring bezpieczeństwa i wszczęto dochodzenie śledcze. Jak podaje BR, w sprawie prowadzi obecnie dochodzenie również bawarski Urząd Kryminalny (Landeskriminalamt).
LMU zamierza wkrótce wznowić proces immatrykulacji na semestr zimowy, który rozpoczyna się 12 października; odpowiednie terminy mają zostać przedłużone. Uniwersytet zapewnia, że studenci „nie poniosą żadnych negatywnych konsekwencji dla swoich studiów”.
Według dotychczasowych ustaleń LMU nie chodzi o klasyczny atak ransomware. „Nie ma żadnych przesłanek wskazujących na to, że napastnik opublikował pozyskane dane, zamierza to zrobić lub wykorzystuje je w inny niewłaściwy sposób”. Specjaliści mają ponadto monitorować odpowiednie portale w darknecie.
Analiza
Incydent po raz kolejny pokazuje, jak atrakcyjne dla napastników są systemy IT uczelni wyższych: uniwersytety zarządzają dużymi ilościami wysoce wrażliwych danych osobowych, często w ramach rozbudowanych, złożonych infrastruktur IT z licznymi interfejsami i systemami starszego typu. Dane immatrykulacyjne są przy tym szczególnie krytyczne, ponieważ obok klasycznych danych podstawowych obejmują także informacje finansowe, takie jak dane bankowe.
Szczególnie istotna jest kombinacja skradzionych danych: dysponując imieniem i nazwiskiem, datą urodzenia, adresem, danymi bankowymi oraz informacjami ubezpieczeniowymi, napastnicy mają w zasadzie wszystko, czego potrzeba do kradzieży tożsamości lub ukierunkowanych oszustw. Mimo że LMU obecnie nie zakłada publikacji ani niewłaściwego wykorzystania danych, ryzyko ukierunkowanego phishingu pozostaje. Uniwersytet nie określa wprost konkretnego scenariusza ataku jako phishing, jednak biorąc pod uwagę ilość skradzionych danych, zagrożenie odpowiednimi atakami następczymi wydaje się oczywiste: przestępcy, znając przebieg studiów, mogliby celowo wyłudzać zaufanie studentów.
Praktyczne wskazówki
Dla osób poszkodowanych oraz członków społeczności uniwersyteckiej z incydentu wynika kilka zaleceń dotyczących działania:
- Zwiększona czujność wobec e-maili lub telefonów odnoszących się do studiów – zwłaszcza jeśli proszą o podanie danych bankowych lub danych dostępowych.
- Nie podawać danych bankowych ani haseł na żądanie, nawet jeśli kontakt wydaje się wiarygodny, a dane osobowe są podane prawidłowo.
- W najbliższych tygodniach i miesiącach szczególnie uważnie sprawdzać ruchy na koncie oraz wyciągi bankowe.
- Śledzić oficjalne komunikaty LMU dotyczące incydentu, ponieważ mogą pojawić się dalsze informacje na temat zakresu i przebiegu ataku.
- Podejrzane próby kontaktu zgłaszać uniwersytetowi lub organom ścigania.
Perspektywy
Dochodzenie śledcze prowadzone przez LMU oraz śledztwo bawarskiego Urzędu Kryminalnego wciąż trwają. Do tej pory nie jest znana ani dokładna droga ataku, ani czas trwania niewykrytego dostępu. Pozostaje czekać, jakie dalsze szczegóły uniwersytet ujawni w nadchodzących dniach – na przykład dotyczące dokładnej liczby poszkodowanych osób lub pochodzenia ataku.
W odniesieniu do immatrykulacji na semestr zimowy LMU już wyciągnęło konsekwencje, zapowiadając przedłużone terminy, aby mimo izolacji systemów nie dopuścić do niekorzystnych konsekwencji dla studentów. Sprawa prawdopodobnie ponownie rozpali dyskusję na temat bezpieczeństwa IT na niemieckich uczelniach, których systemy często muszą być chronione przed coraz bardziej profesjonalnymi atakami przy ograniczonych zasobach.
