Atak hakerski na DTU: Wyciek danych 200 tys. osób?

Na Duńskim Uniwersytecie Technicznym (DTU) doszło do poważnego cyberataku na system zarządzania tożsamością i uprawnieniami DTUBasen. Z bazy wykradziono pakiet informacji, który może dotyczyć nawet 200 000 obecnych oraz byłych pracowników, studentów, gości i partnerów uczelni.

Hakerzy przejęli profile DTU, co umożliwiło im uzyskanie dostępu do bazy użytkowników gromadzącej dane od 2003 roku. W zagrożonym systemie znajduje się około 40 000 kont aktywnych oraz 160 000 kont archiwalnych. Władze uczelni zaznaczają, że 200 tysięcy to górna granica – na tym etapie nie wiadomo jeszcze dokładnie, ile profili i jaki zakres informacji realnie padł łupem przestępców.

W przypadku aktywnych użytkowników spektrum potencjalnie zagrożonych danych jest szerokie. Obejmuje:

• Numery CPR
• Imiona i nazwiska
• Adresy zamieszkania
• Zdjęcia profilowe
• Służbowe adresy e-mail, stanowiska oraz lokalizacje biur
• Dane osób kontaktowych (imię, stopień pokrewieństwa, telefon) – o ile zostały wpisane do systemu.

U byłych użytkowników kwestia ta wygląda nieco lepiej. Adresy, zdjęcia oraz dane osób najbliższych są usuwane automatycznie po sześciu miesiącach od zakończenia współpracy lub nauki. W bazie pozostają jednak m.in. numery CPR oraz pełne imiona i nazwiska.

Władze DTU ostrzegają, że wyciek numerów CPR niesie za sobą poważne ryzyko kradzieży tożsamości oraz ułatwia przestępcom tworzenie bardzo wiarygodnych kampanii phishingowych. Rektor uniwersytetu, Bjarke Bak Christensen, przeprosił za zaistniałą sytuację i wywołaną niepewność. Wyjaśnił, że opóźnienie w przekazaniu informacji wynikało z konieczności ustalenia skali incydentu, zabezpieczenia systemów oraz przygotowania wytycznych dla poszkodowanych.

Sam atak został już skutecznie opanowany. Duński Urząd Ochrony Danych (Datatilsynet) otrzymał zgłoszenie o incydencie 21 września, natomiast oficjalny komunikat dla opinii publicznej wydano w piątek, 2 października.

Wszyscy obecni i byli pracownicy oraz studenci, których numery CPR znajdowały się w systemie, otrzymają w najbliższym czasie indywidualne powiadomienia w skrzynkach e-Boks. Z przyczyn technicznych uczelnia nie ma możliwości bezpośredniego powiadomienia gości, partnerów oraz osób bliskich, których CPR-ów nie przetwarzała.

Jeśli studiowaliście, pracowaliście lub współpracowaliście z DTU w ciągu ostatnich 23 lat, eksperci zalecają wdrożenie następujących środków bezpieczeństwa:

• Zachowajcie szczególną ostrożność przy odbieraniu podejrzanych wiadomości e-mail, SMS-ów oraz połączeń telefonicznych – nawet jeśli nadawca powołuje się na Waszą przeszłość lub relacje z DTU.
• Nigdy nie podawajcie haseł ani innych poufnych danych w odpowiedzi na niespodziewane prośby. Nie zatwierdzajcie również żadnych nieoczekiwanych prób logowania w aplikacjach uwierzytelniających.
• Zmieńcie hasła we wszystkich prywatnych serwisach, w których używaliście takiego samego hasła jak do systemów uniwersyteckich.
• Włączcie blokadę kredytową (kreditadvarsel) powiązaną z Waszym numerem CPR. Można to zrobić bezpłatnie na portalu Borger.dk.
• Osoby z zastrzeżonym adresem lub nazwiskiem (navne- og adressebeskyttelse) powinny zachować podwyższoną czujność. Dodatkowe porady dotyczące cyberbezpieczeństwa można znaleźć na stronie Sikkerdigital.dk.

Źródła:

• DR,TV 2

Zdjęcie:

• Autor: Thomas Hindsgaul
• Licencja: CC BY 2.5 DK