Universitatea din Copenhaga: un mediu de test cu datele a 525.000 de persoane, inclusiv CPR, a fost accesat. Ce este confirmat și ce verifici la mediile tale non-producție

• Anunțul din 23 octombrie: atacatori au obținut acces la un mediu de test, au fost expuse date despre circa 525.000 de persoane (nume, CPR, telefoane, e-mail privat). Incidentul a fost raportat la Datatilsynet, autoritatea daneză pentru protecția datelor, iar universitatea spune că se aplică GDPR. Nu există indicii că hackerii ar fi avut acces la sistemele care susțin activitatea zilnică.
• Tot pe 23 octombrie, KU a închis accesul fizic la anumite locuri critice, ca măsură de precauție.
• Pe 25 octombrie, KU a anunțat că PIN-urile cardurilor de acces ale circa 20.000 de persoane au fost compromise. Persoanele au primit PIN-uri noi, iar locurile au fost redeschise. Universitatea a precizat că aceasta nu era o nouă scurgere sau un nou atac.
• Pe 26 octombrie, KU a raportat perturbări ale sistemelor administrative (WorkZone, Nimbus) ca urmare a unei opriri controlate, după ceea ce a descris la început drept al doilea atac. Pe 27 octombrie, universitatea a corectat: nu a fost un nou atac, ci activitate care semăna cu unul, iar oprirea a rămas necesară și legată de atacul inițial.
• Pe 28 octombrie, KU a trimis scrisori prin Digital Post persoanelor afectate și a publicat anunțul pe site pentru cele pe care le-a putut identifica doar după nume. În aceeași zi, a corectat din nou: datele scurse merg mai departe în trecut decât data din 2002 menționată inițial, fără să se schimbe numărul persoanelor afectate.
• Ministra pentru securitate societală, Lisbeth Bech-Nielsen, a spus, potrivit TV 2 Kosmopol, citând Ritzau, că incidentele subliniază din nou că amenințarea cibernetică la adresa Danemarcei este serioasă. Aceeași sursă relatează că și Universitatea din Aarhus a raportat o intruziune, în care atacatorul a încercat să schimbe parolele a circa 1.700 de angajați și studenți, fără succes.

• Cum au intrat atacatorii în mediul de test: universitatea nu a spus.
• De ce un mediu de test conținea date reale ale unei jumătăți de milion de oameni: nu există explicație publică.
• Cine este în spatele atacului: nu există atribuire sau revendicare în sursele citite.
• Dacă datele au fost publicate sau folosite: nu există informații.
• Amploarea completă și intervalul de timp al datelor: universitatea a corectat deja data inițială și investigația continuă.

Mediile de test și de dezvoltare sunt, de regulă, mai puțin protejate decât producția: autentificare mai laxă, mai mulți utilizatori, copii vechi ale datelor, fără monitorizare. Dacă primesc date reale, devin ținte atractive și scurgeri greu de observat.

GDPR cere protecția datelor începând cu proiectarea (art. 25) și măsuri de securitate adecvate (art. 32), ceea ce include controlul datelor reale din copii non-producție. Nu spunem că KU a încălcat ceva; ancheta autorității nu a fost raportată în sursele citite.

• Inventariază mediile de test, dezvoltare, instruire și demonstrații, inclusiv cele ale furnizorilor. Care conțin date reale?
• Interzice datele reale în test, ca regulă. Folosește date sintetice sau mascate; dacă ai nevoie de date reale, justifică, limitează și aprobă formal.
• Dacă mediul conține date reale, aplică aceleași controale ca în producție: autentificare multifactor, acces minim, jurnalizare și monitorizare.
• Șterge copiile vechi. Un mediu de test creat în urmă cu ani poate conține date pe care nimeni nu le mai folosește.
• Separă rețelele: un mediu de test compromis nu trebuie să ducă la sistemele care susțin activitatea zilnică. KU spune că nu există indicii în acest sens.
• Gândește-te la ce se întâmplă cu elementele fizice: PIN-urile cardurilor de acces ale 20.000 de persoane au fost compromise, iar universitatea a trebuit să închidă accesul fizic. Datele din test pot atinge securitatea fizică.
• Ai un protocol pentru corecții: KU a corectat de trei ori în șase zile (PIN-uri, al doilea atac, intervalul datelor). Corecțiile sunt normale într-o investigație; important este să le datezi și să le explici.

• Fii atent la mesaje și apeluri nesolicitate care invocă universitatea, banca sau autoritățile și cer date sau plăți; universitatea sfătuiește prudență și verificare independentă.
• Un număr de identificare personală nu trebuie acceptat singur ca dovadă de identitate: cere-l să fie însoțit de un al doilea factor. Aceeași recomandare au făcut și autoritățile daneze după incidentul CPR.
• Păstrează scrisoarea oficială primită prin Digital Post și folosește canalele indicate de universitate pentru întrebări.

GDPR cere notificarea autorității de supraveghere (în România, ANSPDCP) în 72 de ore, dacă este posibil, și informarea persoanelor când riscul este ridicat (art. 33 și 34). Organizațiile de cercetare pot intra sub NIS2, în funcție de transpunerea națională, cu avertizare timpurie în 24 de ore și raport inițial în 72 de ore pentru incidente semnificative. Aplicabilitatea depinde de situația ta; verifică cu juristul sau cu responsabilul cu protecția datelor.

Anunțurile KU sunt sursa primară, citite direct pe pagina universității, și sunt actualizate cu corecții. BleepingComputer și TV 2 Kosmopol le relatează. Cifra de 525.000 este aproximativă, iar numărul final nu este stabilit.

Awarely Learning poate pregăti exerciții pentru conducere și echipele de dezvoltare despre date reale în test și despre comunicarea corecțiilor, iar Awarely Monitor poate ajuta la evidența mediilor expuse. Articolul nu este consultanță juridică și nu garantează conformitatea.