Danijoje įsilaužta į universitetą: 525 tūkst. žmonių duomenys atsidūrė pavojuje, teko keisti įėjimo kodus

Sekite TechNaujienos Google

Kopenhagos universitetas atskleidė didelio masto kibernetinį incidentą: užpuolikai pateko į bandymų aplinką, kurioje buvo maždaug 525 tūkst. žmonių asmeninė informacija. Be to, paaiškėjo, kad maždaug 20 tūkst. studentų ir darbuotojų įėjimo PIN kodai galėjo būti pasiekiami. Universitetui teko riboti prieigą prie dalies patalpų ir keisti kodus.

Spalio 26–27 dienų šaltinyje pateikiamos šios incidento detalės. Spalio 26 dieną „BleepingComputer“, remdamasis oficialiais universiteto pranešimais, nurodė, kad įsilaužimas aptiktas ankstesnę savaitę. Tarp galimai atskleistų duomenų minimi vardai, nacionaliniai asmens kodai, telefono numeriai ir el. pašto adresai. Įstaiga informavo Danijos asmens duomenų priežiūros instituciją ir tyrė, kiek informacijos užpuolikai iš tikrųjų išsinešė.

Ši istorija išsiskiria tuo, kad incidento vieta buvo ne pagrindinė mokymo sistema, o testavimo aplinka. Programuotojai tokias sistemas dažnai naudoja naujoms funkcijoms bandyti, tačiau jose kartais lieka pernelyg tikroviški asmens duomenys. Jei kopijoms taikoma silpnesnė prieigos kontrolė, jos tampa netikėtu būdu pasiekti informaciją, kuri produkcinėje sistemoje būtų griežčiau saugoma.

Bandymų aplinkos dažnai tampa antriniu organizacijos duomenų saugumo rūpesčiu. Pagrindinėje sistemoje paprastai nustatomos griežtos prieigos taisyklės, o kopijos kūrėjams suteikiamos tam, kad būtų patogu tikrinti naujas funkcijas. Jei tokiose kopijose išlieka realūs asmens kodai ir kontaktai, bet apsauga silpnesnė, saugumo lygis tampa nenuoseklus. Vienas saugesnių būdų – naudoti specialiai sukurtus netikrus įrašus, kurie išsaugo duomenų struktūrą, bet negali būti susieti su tikrais žmonėmis. Vis dėlto pereiti prie tokių sistemų dažnai reikia papildomo darbo.

Naujausi straipsniai

4 min. skaitymo • prieš 1 minutė

Didelis bankas perspėja: neduokite savo prisijungimo duomenų DI agentams – galite prarasti paskyros kontrolę

4 min. skaitymo • prieš 21 minutė

Japonijos interneto milžinė ragino klientus išjungti kompiuterius: užpuolikai pareikalavo 50 mln. dolerių

4 min. skaitymo • prieš 41 minutė

Britanijos policijos duomenis saugantys tiekėjai buvo atakuoti ne kartą – auditas atskleidė pavojingą spragą

Visi naujausi straipsniai →

Universiteto situacija taip pat parodo, kad viešosios įstaigos valdo daug daugiau duomenų nei vien aktyvių studentų sąrašus. Didelis potencialiai paveiktų asmenų skaičius gali būti susijęs su ilgesniu duomenų kaupimo laikotarpiu, buvusiais darbuotojais ar įvairių projektų dalyviais. Tačiau be universiteto pateiktų detalių negalima tiksliai nustatyti, kodėl testavimo aplinkoje buvo būtent 525 tūkstančiai įrašų. Toks duomenų mastas kelia papildomų klausimų dėl saugojimo terminų, prieigos teisių ir sistemų kopijavimo praktikų.

Kai nuteka fizinio įėjimo kodai, reikalinga ne tik skaitmeninė reakcija. Saugumo darbuotojai turi įvertinti, kokioms patalpoms tie kodai suteikia prieigą, ar galima laikinai įvesti papildomą kontrolę ir kiek laiko truks saugus naujų kodų išdavimas. Jei prieigų sistema susieta su darbuotojų kortelėmis arba laboratorijų grafiku, pakeitimai gali paveikti kasdienę veiklą. Lietuvos aukštosioms mokykloms tai priminimas, kad skaitmeninė ir fizinė apsauga turi būti planuojamos kartu, o ne atskirais administravimo projektais.

Kas įvyko ir kokie tikrieji pavojai

Dar vienas incidento aspektas – fizinė prieiga. Nutekėję įėjimo PIN kodai potencialiai reikšmingi ne vien skaitmeninėms paskyroms, bet ir realioms universiteto erdvėms. Todėl administracija atsargumo sumetimais apribojo patekimą į kai kurias kritines zonas. Kol išdalyti nauji kodai, paslaugų teikimo kasdienybė gali būti nepatogi studentams ir darbuotojams.

Universiteto teigimu, kol kas nėra požymių, kad įsilaužėliai buvo pasiekę kasdienėms operacijoms naudojamas sistemas arba sutrikdę studijų procesą. Tai svarbi išlyga: didelis potencialiai atskleistų įrašų skaičius nereiškia, kad visa universiteto veikla sustojo. Nežinomi ir galutinis pavogtų duomenų mastas bei jų paskleidimas.

Universitetai ir mokyklos saugo ne tik aktyvių mokinių ar studentų duomenis. Bėgant metams duomenų bazėse gali kauptis informacija apie absolventus, renginių dalyvius, tyrimų savanorius ir buvusius darbuotojus. Kuo ilgiau tokių įrašų saugoma be aiškaus poreikio, tuo didesnė galima incidento apimtis. Todėl institucijoms verta reguliariai peržiūrėti duomenų ištrynimo taisykles, bandymų aplinkų kopijas ir darbuotojams suteiktas prieigos teises. Danijos atvejis nėra įrodymas, kad panaši spraga yra kiekviename Lietuvos universitete, bet jis labai konkrečiai parodo, kaip mažiau matoma testavimo sistema gali tapti didžiausio viešo incidento šaltiniu. Tokia rizika turėtų būti vertinama dar sistemų kūrimo etape.

Ką verta žinoti Lietuvoje

Lietuvos universitetams ir viešosioms įstaigoms ši istorija primena testavimo sistemų priežiūros problemą. Naudojant tikrus asmens duomenis bandymams, reikia turėti aiškų teisinį pagrindą, atskirą prieigos valdymą, logus ir ribotus saugojimo terminus. Jei įmanoma, geriau naudoti anonimizuotus ar sintetinius testinius duomenis, kurie neatskleidžia realių žmonių tapatybės.

Asmenys, kurie gavo pranešimą iš universiteto, turėtų atidžiau vertinti netikėtus laiškus ar skambučius, kuriuose prašoma patvirtinti prisijungimo ar asmens kodus. Saugiausia užklausas tikrinti tiesiogiai per oficialias universiteto sistemas. Incidentas rodo, kad kibernetinis saugumas mokymo įstaigoje apima ir asmens duomenų apsaugą, ir realių pastatų kontrolę. Plačiau susijusiu klausimu rašėme anksčiau.