Kolejny cyberatak na ośrodek pomocy społecznej w Polsce

Ośrodki pomocy społecznej przetwarzają wiele wrażliwych informacji dotyczących m.in. zarobków, zdrowia czy przemocy domowej. Ostatnie kilkanaście miesięcy pokazuje, że tego typu instytucje są na celowniku cyberprzestępców - mowa tutaj głównie o atakach ransomware, lecz również nieuprawnionym dostępie do informacji w inny sposób.

Incydent w GOPS Fredropol

11 września br. Gminny Ośrodek Pomocy Społecznej w Fredropolu poinformował o naruszeniu ochrony danych osobowych.

„Nieuprawniona osoba uzyskała dostęp do służbowej skrzynki e-mail poprzez przełamanie hasła” – stwierdzono w zawiadomieniu. Incydent ma dotyczyć 36 osób, zaś liczba „wpisów danych osobowych objętych incydentem to około 60”. Zdarzenie poskutkowało:

• usunięciem wiadomości e-mail (które udało się szybko przywrócić z kopii zapasowej);
• pobraniem wiadomości ze skrzynki;
• wysyłką wiadomości z adresu e-mail GOPS.

Dobra reakcja GOPS

GOPS Fredropol wykazał się odpowiedzialnym podejściem do obsługi incydentu. Warto odnotować, że Ośrodek:

• poinformował indywidualnie osoby, których dotyczy zdarzenie;
• szyfrował wiadomości wychodzące, które zawierały dane osobowe;
• odtworzył dane z kopii zapasowej w ciągu jednego dnia.

Ośrodek zawarł również w zawiadomieniu szczere przeprosiny, co pokazuje ludzki aspekt incydentu.

Ataki na OPS

W maju 2023 roku Radio Bielsko poinformowało o nieuprawnionym dostępie do skrzynki mailowej MOPS w Bielsku-Białej. Wówczas mówienie o „ataku hakerskim” zostało uznane za „nieuprawnione”, pomimo rozsyłania spamu.

Niestety na przestrzeni ostatnich lat miało miejsce kilka ataków ransomware, które polegają zazwyczaj na kradzieży i szyfrowaniu danych, wraz z groźbą publikacji w darknecie oraz żądaniem okupu. Do takich incydentów doszło m.in. w poniższych jednostkach:

• MOPS Przasnysz (2021);
• GOPS Aleksandrów (2022);
• MOPS Zgierz (2023);
• MGOPS Sędziszów Małopolski (2024, atak grupy LockBit);
• OPS Pszów (2025).

Należy przy tym podkreślić, że nie w każdym przypadku potwierdzono eksfiltrację (kradzież) plików.

Warto również wspomnieć o podejrzeniu nieuprawnionego wykorzystania danych osobowych z MOPS Częstochowa podczas głosowania w ramach budżetu obywatelskiego (2020) oraz przypadkowej publikacji danych kilkunastu stażystów łódzkiego MOPS-u (2016).

Powiatowe Urzędy Pracy również na celowniku

Należy wspomnieć o atakach ransomware na powiatowe urzędy pracy, które zdarzały się na przestrzeni na ostatnich kilkunastu miesięcy. Wśród zaatakowanych podmiotów można wyróżnić m.in.:

• PUP Police (2024, atak grupy RansomHub);
• PUP Bartoszyce (2025, atak grupy RansomHub);
• PUP Żory (2025, atak grupy NightSpire).

„Miękkie podbrusze”

„Najbardziej miękkie podbrzusze systemu cyberbezpieczeństwa to samorząd. To tam trzeba najwięcej inwestycji, to tam trzeba najwięcej koordynacji” – stwierdził wicepremier Krzysztof Gawkowski podczas jednej z konferencji prasowych.

Ośrodki pomocy społecznej czy powiatowe urzędy pracy przetwarzają szczególnie wrażliwe informacje, co pokazuje wyciek ponad 2 tys. odpowiedzi na zapytania policji oraz kilkudziesięciu kart zasiłku z żorskiego Urzędu Pracy.

Nie wiemy, komu służą wykradzione informacje.

Osoby, które chcą się z nami anonimowo skontaktować, zapraszamy do skorzystania z anonimowego formularza w zakładce „Kontakt” (u dołu strony).