Vad har hänt?
Ludwig-Maximilians-Universität (LMU) i München har drabbats av en cyberattack där personuppgifter om studenter har läckt ut. Enligt universitetet självt har "stamdata för immatrikuleringar" kopierats. Hur många dataposter som konkret berörs har universitetet inte meddelat. För närvarande är omkring 52 000 personer inskrivna vid LMU.
Enligt en rapport från Bayerischer Rundfunk (BR) upptäcktes attacken under onsdagen denna vecka. Detaljer kring den exakta angreppsvektorn och hur länge den obemärkta åtkomsten pågick är hittills inte kända.
Detaljerna
Enligt LMU:s redogörelse kopierades uppenbarligen fullständiga dataposter för immatrikulering från universitetets system. Dessa omfattar bland annat:
- Namn, födelsedata och adresser
- E-postuppgifter
- Bankuppgifter som IBAN och kontoinnehavare
- Studiestödsnummer (BAföG-nummer)
- Uppgifter om sjukförsäkring
De berörda systemen har enligt universitetet kopplats bort från nätet och isolerats. Dessutom har säkerhetsövervakningen utökats och en forensisk utredning inletts. Enligt BR utreder nu även den bayerska kriminalpolisen (Landeskriminalamt) fallet.
LMU avser att inom kort återuppta immatrikuleringen inför höstterminen som börjar den 12 oktober; motsvarande tidsfrister ska förlängas. Universitetet försäkrar att studenterna inte kommer att drabbas av "någon nackdel för sina studier".
Enligt LMU:s hittillsvarande bedömning rör det sig inte om en klassisk utpressningsattack (ransomware). Det finns "inga indikationer på att angriparen har publicerat de erhållna uppgifterna, avser att göra det eller på annat sätt missbrukar dem". Specialister ska dessutom bevaka relevanta darknet-portaler.
Bedömning
Händelsen visar återigen hur attraktiva universitets IT-system är för angripare: universitet hanterar stora mängder mycket känsliga personuppgifter, ofta genom komplexa IT-miljöer som vuxit fram över tid med många gränssnitt och äldre system. Immatrikuleringsdata är särskilt kritiska eftersom de, utöver klassiska stamdata, även omfattar finansiell information som bankuppgifter.
Särskilt relevant är kombinationen av de stulna uppgifterna: med namn, födelsedata, adresser, bankuppgifter och försäkringsuppgifter har angriparna tillgång till nästan allt som krävs för identitetsstöld eller riktade bedrägeriförsök. Även om LMU för närvarande inte bedömer att uppgifterna har publicerats eller missbrukats, kvarstår risken för riktad nätfiske (phishing). Universitetet beskriver inte uttryckligen det konkreta angreppsscenariot som phishing, men risken för sådana följdattacker ligger nära till hands med tanke på mängden stulna data: kriminella skulle kunna utnyttja kunskap om studenternas utbildningshistorik för att vinna deras förtroende.
Praktiska råd
För drabbade och universitetsanställda ger händelsen upphov till flera rekommendationer:
- Var extra vaksam vid e-postmeddelanden eller samtal som hänvisar till studierna – särskilt om de efterfrågar bankuppgifter eller inloggningsuppgifter.
- Lämna aldrig ut bankuppgifter eller lösenord på begäran, även om kontakten verkar trovärdig och personuppgifter nämns korrekt.
- Kontrollera kontotransaktioner och kontoutdrag extra noga under de kommande veckorna och månaderna.
- Följ LMU:s officiella meddelanden om händelsen, eftersom mer information om omfattning och förlopp kan komma att publiceras.
- Rapportera misstänkta kontaktförsök till universitetet eller utredande myndigheter.
Framtidsutsikter
LMU:s forensiska utredning samt den bayerska kriminalpolisens utredning pågår fortfarande. Hittills är varken den exakta angreppsvägen eller hur länge den oupptäckta åtkomsten pågick kända. Det återstår att se vilka ytterligare detaljer universitetet publicerar under de kommande dagarna – till exempel om det exakta antalet drabbade personer eller angreppets ursprung.
För immatrikuleringen inför höstterminen har LMU redan vidtagit åtgärder och meddelat förlängda tidsfrister, för att studenterna inte ska drabbas negativt trots systemisoleringen. Fallet lär också återigen sätta fart på diskussionen om IT-säkerhet vid tyska universitet, vars system ofta måste skyddas mot alltmer professionella attacker med begränsade resurser.
