Ενημέρωση σχετικά με την κυβερνοεπίθεση στο Ελληνικό Ανοιχτό Πανεπιστήμιο
Με πρόσφατη ανακοίνωσή του, το Ελληνικό Ανοιχτό Πανεπιστήμιο (ΕΑΠ) επιβεβαίωσε ότι δέχτηκε κυβερνοεπίθεση στις 25 Οκτωβρίου 2024, κατά την οποία διέρρευσαν 813GB προσωπικών δεδομένων στο σκοτεινό διαδίκτυο.
Σύμφωνα με την ανακοίνωση του ΕΑΠ, η επίθεση εκδηλώθηκε μέσω λογισμικού τύπου ransomware, με το κακόβουλο λογισμικό να αποκτά πρόσβαση στην κύρια υποδομή πληροφορικής και την υποδομή αντιγράφων ασφαλείας του Ιδρύματος. Οι επιπτώσεις περιλάμβαναν την κρυπτογράφηση του συστήματος διαχείρισης εικονικών μηχανών και δυσλειτουργίες σε δευτερεύοντα συστήματα. Η διαδικασία ανάκτησης των δεδομένων έγινε δυνατή επειδή η κρυπτογράφηση δεν επηρεάσε το σύνολο των εφεδρικών αντιγράφων, τα οποία ανακτήθηκαν και ελέγχθηκαν προσεκτικά για την αποκατάσταση των συστημάτων και των υπηρεσιών του Πανεπιστημίου.
Το ΕΑΠ τόνισε ότι ο όγκος των δεδομένων που διέρρευσαν αποτελεί ένα ελάχιστο ποσοστό σε σχέση με τον συνολικό όγκο δεδομένων που διατηρεί το Ίδρυμα, ο οποίος ανέρχεται σε πολλά terabytes. Συγκεκριμένα, το μέγεθος αυτό είναι συγκρίσιμο με τη χωρητικότητα τοπικού δίσκου ενός τυπικού υπολογιστή, γεγονός που υποδηλώνει ότι η διαρροή είναι περιορισμένης κλίμακας.
Τα αρχεία που διέρρευσαν περιλάμβαναν, σύμφωνα με τις μέχρι τώρα ενδείξεις, προσωπικά δεδομένα σε διάφορες μορφές αρχείων, όπως doc, pdf και excel. Αυτά τα αρχεία βρίσκονται στο σκοτεινό διαδίκτυο, όπου η πρόσβαση απαιτεί ειδικευμένες γνώσεις.
Πληροφορίες για την κυβερνοεπίθεση
Η διοίκηση του ΕΑΠ δήλωσε: «Στο πλαίσιο της υπεύθυνης και διαφανούς ενημέρωσής σας σχετικά με την κακόβουλη επίθεση που δέχτηκε το Ίδρυμα από ομάδα κυβερνοεγκληματιών, βρισκόμαστε σε διαδικασία διερεύνησης του συμβάντος. Στις 25/10/2024 εντοπίσαμε ύποπτη δραστηριότητα στα πληροφοριακά μας συστήματα, περιλαμβάνοντας μη εξουσιοδοτημένη πρόσβαση. Η κρυπτογράφηση που εκδηλώθηκε δεν επηρεάσε το σύνολο των εφεδρικών αντιγράφων, επιτρέποντας την γρήγορη αποκατάσταση».
Η επίθεση είχε ως αποτέλεσμα την περιορισμένη διαρροή προσωπικών δεδομένων που ανέρχονται σε 813GB. Ωστόσο, είναι σημαντικό να σημειωθεί ότι αυτή η ποσότητα είναι ελάχιστη σε σχέση με τα συνολικά δεδομένα του Ιδρύματος. Τα διαρρεύσαντα αρχεία περιλάμβαναν προσωπικά δεδομένα όπως ονοματεπώνυμο, ημερομηνία γέννησης, στοιχεία επικοινωνίας και ακαδημαϊκά δεδομένα. Ωστόσο, οι ενδείξεις μέχρι στιγμής υποδεικνύουν ότι η πραγματική κλίμακα της διαρροής φαίνεται να είναι μικρότερη από αυτήν που αναφέρθηκε αρχικά.
Σε αντίθεση με την ανησυχία που έχει προκληθεί, το ΕΑΠ διαβεβαίωσε ότι εφάρμοσε άμεσα όλα τα απαραίτητα μέτρα για την ελαχιστοποίηση της ζημίας, συνεργαζόμενο με την Εθνική Αρχή Κυβερνοασφάλειας, τη Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος και την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.
Επιπλέον, δημιουργήθηκε ομάδα διαχείρισης περιστατικού και ελήφθησαν μέτρα, όπως η απομόνωση των επηρεαζόμενων συστημάτων και η ενημέρωση των εμπλεκόμενων ατόμων για πιθανές κινήσεις προστασίας των δεδομένων τους. Παράλληλα, τόνισε τη σημασία της ευαισθητοποίησης του ακαδημαϊκού και διοικητικού προσωπικού για τις κυβερνοαπειλές και την προστασία των προσωπικών δεδομένων.
Αποτελεί επίσης προτεραιότητα η ενίσχυση των τεχνικών υπηρεσιών με επιπλέον εξειδικευμένο προσωπικό και η ανάπτυξη ενός ολοκληρωμένου συστήματος ασφαλείας που να περιλαμβάνει προκαθορισμένες διαδικασίες για την αποτροπή παρόμοιων περιστατικών στο μέλλον. Μέτρα όπως η αναβάθμιση της υποδομής και η βελτίωση των μηχανισμών προστασίας έχουν ήδη τεθεί σε εφαρμογή.
Προτάσεις για Προστασία Χρηστών
Για την προστασία των προσωπικών τους δεδομένων, οι χρήστες του ΕΑΠ καλούνται να ακολουθήσουν ορισμένες βασικές οδηγίες. Αρχικά, η άμεση αλλαγή κωδικών πρόσβασης και η χρήση ισχυρών κωδικών είναι άκρως σημαντική. Συνιστάται η χρήση κωδικών με τουλάχιστον 10 χαρακτήρες, που να περιλαμβάνουν συνδυασμούς γραμμάτων, αριθμών και συμβόλων.
Επιπλέον, οι χρήστες θα πρέπει να είναι ιδιαίτερα προσεκτικοί με emails ή τηλεφωνικές κλήσεις που ζητούν προσωπικά στοιχεία, να αποφεύγουν τη χρήση του ίδιου κωδικού σε διαφορετικές υπηρεσίες και να παρακολουθούν τις συναλλαγές τους για ύποπτη δραστηριότητα.
Η αυστηρή τήρηση αυτών των μέτρων μπορεί να μειώσει τις πιθανότητες μη εξουσιοδοτημένης πρόσβασης και να προστατεύσει τα προσωπικά δεδομένα από κακόβουλες επιθέσεις. Ειδικότερα, η διατήρηση θεμάτων ευαισθητοποίησης για την κυβερνοασφάλεια είναι ζωτικής σημασίας για την προστασία της ιδιωτικότητας και των προσωπικών πληροφοριών κάθε χρήστη.
Το ΕΑΠ δεσμεύεται να παρακολουθεί συνεχώς την κατάσταση και να ενημερώνει την κοινότητα για οποιαδήποτε ανακάλυψη ή πρόοδο στην επίλυση του περιστατικού αυτού. Η διαφάνεια και η ενημέρωση αποτελούν κρίσιμες πτυχές της αντιμετώπισης του συμβάντος αυτού, καθώς το Ίδρυμα εργάζεται συνεχώς για την αποκατάσταση της ασφάλειας και της εμπιστοσύνης των χρηστών του.
