Článek
Univerzita Karlova v pátek potvrdila, že řeší kybernetický incident. Útočník podle ní zneužil jednu z webových aplikací a přes ni se dostal k datům centrálního Studijního informačního systému, kterému studenti neřeknou jinak než SIS. Část údajů, včetně osobních, si stáhl.
Kolika lidí se únik týká a co přesně útočník má, zatím škola neví. Napadenou aplikaci odstavila, incident nahlásila Národnímu úřadu pro kybernetickou a informační bezpečnost a podala trestní oznámení na neznámého pachatele. Policie podle ČTK oznámení přijala a okolnosti prověřuje.
Co univerzita po studentech chce
Uživatele centrálního přihlášení CAS UK škola vyzvala, aby si do deseti dnů změnili heslo. Jde o preventivní krok, ale nepodceňoval bych ho. Kdo používá stejné heslo i k e-mailu, sociálním sítím nebo bankovnictví, měl by ho změnit i tam. Právě na recyklovaných heslech útočníci z podobných úniků vydělávají nejvíc.
Univerzita podle ČTK uvedla, že útok souvisí s celosvětovou vlnou pokusů o napadení webů postavených na PHP. Nedávno to schytalo i ČVUT. Nejde tedy nejspíš o útok namířený na jednu konkrétní školu, spíš o systematické hledání slabých míst.
Proč je únik ze studijního systému nebezpečný
Ve studijních systémech bývají jména, školní e-maily, zapsané předměty, termíny zkoušek i jména vyučujících. Samo o sobě to nezní dramaticky. Pro podvodníka je to ale ideální materiál, protože může napsat zprávu, která vypadá přesně jako ze studijního oddělení.
Z praxe vím, že nejúspěšnější podvody nejsou ty technicky dokonalé, ale ty, které znají kontext. E-mail s vaším skutečným jménem, že se ruší zkouška z předmětu, který opravdu máte zapsaný, a nový termín si máte potvrdit přes odkaz, otevře skoro každý. Stejně dobře funguje výzva k doplacení poplatku za studium nebo „ověření účtu po bezpečnostním incidentu“. Ta poslední je teď obzvlášť zrádná, protože o útoku se všude píše.
Jak se v dalších týdnech chránit
Heslo měňte jen tak, že si stránku univerzity sami otevřete v prohlížeči. Nikdy přes odkaz z e-mailu nebo SMS. Když přijde zpráva, která po vás chce přihlášení, platbu nebo údaje z karty, ověřte si ji na studijním oddělení po telefonu nebo osobně.
Kde to jde, zapněte si dvoufázové ověření, hlavně u e-mailu. Podezřelé zprávy nemažte hned, ale nahlaste je univerzitnímu bezpečnostnímu týmu, kontakty najdete na webu security.cuni.cz. Pomůžete tím i spolužákům, kterým může přijít stejná zpráva.
Pozor by si měli dát i rodiče. Pokud vám přijde SMS, že dítě na vysoké škole nutně potřebuje zaplatit poplatek nebo že má nové číslo, nejdřív mu zavolejte na to staré.
Co bych od školy ještě čekal
Univerzita zareagovala rychle a o útoku informovala otevřeně, to je potřeba ocenit. Chybí mi ale srozumitelný návod pro studenty, na co si dát pozor. Samotná výzva ke změně hesla nestačí, když hlavní riziko přijde až s podvodnými zprávami. Věřím, že ho škola doplní, jakmile bude znát rozsah úniku.
Zdroje:
Univerzita Karlova: Oznámení ke kybernetickému incidentu, https://cuni.cz/UK-16212.html
ČTK / České noviny: Univerzita Karlova řeší kybernetický útok, útočník získal i osobní údaje, https://www.ceskenoviny.cz/zpravy/univerzita-karlova-resi-kyberneticky-utok-utocnik-ziskal-i-osobni-udaje/2901579
Lupa.cz: Univerzitu Karlovu napadli hackeři. Měli získat část údajů ze studijního systému, https://www.lupa.cz/aktuality/univerzitu-karlovu-napadli-hackeri-meli-ziskat-cast-udaju-ze-studijniho-systemu/
