Dwie polskie uczelnie wyższe padły ofiarą cyberataków

Akademia Leona Koźmińskiego (Warszawa) oraz WSB-NLU (Wyższa Szkoła Biznesu – National Louis University, Nowy Sącz) – to właśnie te dwie niepubliczne uczelnie zostały zaatakowane przez cyberprzestępców. Naszej redakcji udało się dotrzeć do publicznego komunikatu ALK oraz potwierdzić cyberatak na WSB-NLU w rektoracie uczelni. Zdarzenia pokazują realne zagrożenie dla polskich organizacji – nie tylko szkół wyższych.

Cyberatak na Akademię Leona Koźmińskiego

8 czerwca Akademia Leona Koźmińskiego poinformowała o „incydencie cyberbezpieczeństwa”. Mowa o ransomware – złośliwym oprogramowaniu, które szyfruje pliki. W przypadku takich kampanii cyberprzestępcy często uprzednio wykradają dane, aby zaszantażować organizację poprzez ich późniejszą publikację po niespełnieniu żądań finansowych (opłaceniu okupu).

Zespół IT „Koźmińskiego” wraz z zewnętrznymi ekspertami ustala pełny zakres incydentu. Wiadomo, że o sprawie zawiadomiono CERT Polska, Policję oraz Prezesa Urzędu Ochrony Danych Osobowych.

Na obecnym etapie analiz nie wszystkie okoliczności zdarzenia zostały jeszcze potwierdzone. W przypadku uzyskania nowych informacji mających znaczenie dla Państwa bezpieczeństwa lub pracy uczelni będziemy przekazywać kolejne komunikaty.
Komunikat Akademii Leona Koźmińskiego

Akademia Leona Koźmińskiego potwierdziła możliwość naruszenia ochrony danych osobowych. Uczelnia zaleca m.in.:

• zmianę haseł do systemów uczelniach (oraz wszędzie tam, gdzie było identyczne – choć oczywiście do takiej sytuacji nie powinno dojść;
• korzystanie z dwuetapowego uwierzytelniania;
• ostrożność wobec prób kontaktu od nieznanych osób;
• nieinstalowanie oprogramowania z niezweryfikowanych źródeł.

Rekomendujemy również zastrzeżenie numeru PESEL – niezależnie od tego, czy nasze dane uległy naruszeniu ochrony.

Dotychczas żadna grupa cyberprzestępców nie przypisała sobie odpowiedzialności za incydent.

Cyberatak na WSB-NLU

19 maja jedna z grup ransomware wylistowała WSB-NLU na swojej liście ofiar ataków. Kolejnego dnia skontaktowaliśmy się z uczelnią, aby uzyskać informacje w tej sprawie.

3 czerwca otrzymaliśmy odpowiedź od Rektora uczelni, dr Dariusza Woźniaka, prof. WSB-NLU. „Potwierdzamy, że incydent bezpieczeństwa, który miał miejsce jakiś czas temu, był wynikiem ataku hakerskiego. Dzięki szybkim działaniom wewnętrznego zespołu IT oraz wsparciu zewnętrznych ekspertów incydent został powstrzymany, a infrastruktura IT została oczyszczona” – przekazał w odpowiedzi na nasze pytania.

Przeprowadziliśmy szczegółową analizę zdarzenia, wyciągnęliśmy wnioski i wdrażamy dodatkowe środki bezpieczeństwa mające na celu dalsze wzmocnienie ochrony naszych systemów. O incydencie zostały powiadomione właściwe organy i służby. Potwierdzamy, że obecnie wszystkie systemy i usługi IT pracują prawidłowo i zgodnie z ich przeznaczeniem.
Rektor dr Dariusz Woźniak, prof. WSB-NLU

Uczelnia nie udzieliła nam szczegółowych informacji o incydencie z racji na wrażliwość sprawy. Udało się nam jednak ustalić, że cyberprzestępcy opublikowali wynik polecenia „tree”, czyli wylistowania plików. Oznacza to, że przedstawili wykaz nazw plików, do których mogli uzyskać nieuprawniony dostęp.

Zakres danych

Na szczęście w pliku tekstowym znajduje się wylistowanie danych, które nie wyglądają na przetwarzane w realnym środowisku. Wiele wskazuje na to, że pliki zostały wykradzione z środowiska wirtualnego bądź testowego.

W pliku było ok. 2,9 tys. nazw katalogów, składających się z pierwszej litery imienia oraz nazwiska, lecz foldery były w dużej mierze puste.

Jeżeli incydent obejmuje wyłącznie wylistowane dane, prawdopodobnie nie będzie wiązał się z poważnymi skutkami dla studentów czy wykładowców. Jednocześnie fakt uzyskania nieuprawnionego dostępu do infrastruktury – nawet testowej bądź odizolowanej – pokazuje nam konieczność ciągłego dbania o cyberbezpieczeństwo.

Co to oznacza?

Incydenty to jasny sygnał do tego, że cyberbezpieczeństwo to nie „dodatek” czy „papierologia” do wypełnienia. Stosowane zabezpieczenia mają realny wpływ na bezpieczeństwo danych osób fizycznych.

Lutowy cyberatak na Uniwersytet Warszawski skutkował obszernym wyciekiem danych zawartych w listach związanych z rekrutacją – mowa zarówno o osobach przyjętych, jak i wpisanych na listę rezerwową oraz nieprzyjętych. Szerzej sprawę opisaliśmy na naszych łamach. UW określiło zakres plików potencjalnie zawierających dane osobowe na 32,8 tys dokumentów.

Niestety nie były to jedyne ataki ransomware na polskie uczelnie w ostatnich latach. Przykładami mogą być incydenty w Akademii Sztuki Wojennej w Warszawie oraz na Uniwersytecie Zielonogórskim.

W marcu ofiarami cyberataków były cztery polskie placówki z sektora medycznego. Niestety na początku czerwca kolejny taki obiekt został zaatakowany, o czym informowaliśmy na naszych łamach.

Polskie firmy, również te z sektora małych i średnich przedsiębiorstw (MŚP), nieustannie pozostają na celowniku cyberprzestępców.