Ελληνικό Ανοιχτό Πανεπιστήμιο: Διέρρευσαν στο dark web προσωπικά δεδομένα και τραπεζικοί λογαριασμοί φοιτητών

Tο Ελλη­νικό Ανοικτό Πανε­πι­στή­μιο (ΕΑΠ) επι­βε­βαιώ­νει σήμερα Παρα­σκευή (28.03.2025), μετά την πάροδο πέντε μηνών, την παρα­βί­αση των πλη­ρο­φο­ρια­κών του συστη­μά­των, που είχε προ­κλη­θεί από μια κακό­βουλη κυβερ­νο­ε­πί­θεση στις 25 Οκτω­βρίου 2024, με απο­τέ­λε­σμα την διαρροή ευαί­σθη­των προ­σω­πι­κών δεδο­μέ­νων χιλιά­δων φοι­τη­τών και από­φοι­των στο «σκο­τεινό δια­δί­κτυο» (dark web).

Η κυβερ­νο­ε­πί­θεση είχε ως απο­τέ­λε­σμα την διαρροή προ­σω­πι­κών δεδο­μέ­νων, το μέγεθος των οποίων ανέρ­χε­ται σε 813GB, σύμφωνα με τα έως τώρα στοι­χεία του ΕΑΠ.

Πρό­κει­ται για προ­σω­πικά δεδο­μένα που αφορούν:

Ονο­μα­τε­πώ­νυμα, ΑΦΜ, ΑΜΚΑ, αριθμοί ταυ­τό­τη­τας, υπο­γρα­φές, φωτο­γρα­φίες

Προ­σω­πικά στοι­χεία επι­κοι­νω­νίας (διευ­θύν­σεις, τηλέ­φωνα, email)

Τρα­πε­ζι­κοί λογα­ρια­σμοί και στοι­χεία πλη­ρω­μών

Ιατρικά δεδο­μένα

Βαθ­μο­λο­γίες, τίτλοι σπουδών, εκπαι­δευ­τικά έγγραφα

Συμ­βά­σεις, απο­φά­σεις συλ­λο­γι­κών οργάνων και αλλη­λο­γρα­φία

Όλα τα παρα­πάνω, σύμφωνα με το ίδιο το Ίδρυμα, έχουν εντο­πι­στεί στο dark web, με του­λά­χι­στον 65 GB να έχουν ήδη ανα­κτη­θεί από τρίτους. Κανείς δεν μπορεί να γνω­ρί­ζει ποιοι τα έχουν στην κατοχή τους και με τι σκοπούς».

Σύμφωνα με το foititikanea.gr, φοι­τη­τές και από­φοι­τοι είχαν εκφρά­σει, ήδη από τον Νοέμ­βριο του 2024, την ανη­συ­χία τους για την έκταση της επί­θε­σης και την αδι­καιο­λό­γητη καθυ­στέ­ρηση στην ενη­μέ­ρωση. Σε επι­στο­λές τους προς τη διοί­κηση ζητού­σαν ξεκά­θα­ρες απα­ντή­σεις: Ποια δεδο­μένα είχαν διαρ­ρεύ­σει, ποιοι είχαν πρό­σβαση, και κυρίως, τι ενέρ­γειες έπρεπε να κάνουν για να προ­στα­τευ­θούν.

Η ανα­κοί­νωση του ΕΑΠ

«Στις 25/10/2024 εντο­πί­σαμε ύποπτη δρα­στη­ριό­τητα στα πλη­ρο­φο­ριακά μας συστή­ματα, η οποία αφο­ρούσε σε μη εξου­σιο­δο­τη­μένη πρό­σβαση. Η επίθεση πραγ­μα­το­ποι­ή­θηκε με λογι­σμικό τύπου ransomware (ransomware attack), κατά την οποία το κακό­βουλο λογι­σμικό απέ­κτησε πρό­σβαση, με υπο­κλοπή συγκε­κρι­μέ­νων δικαιω­μά­των, στην κύρια υποδομή πλη­ρο­φο­ρι­κής και την υποδομή αντι­γρά­φων ασφα­λείας και προ­κά­λεσε κρυ­πτο­γρά­φηση του συστή­μα­τος δια­χεί­ρι­σης εικο­νι­κών μηχανών και δυσλει­τουρ­γίες σε δευ­τε­ρεύ­ο­ντα συστή­ματα και στο δίκτυο δεδο­μέ­νων.

Η κρυ­πτο­γρά­φηση δεν επη­ρέ­ασε το σύνολο των εφε­δρι­κών αντι­γρά­φων, το οποίο ανα­κτή­θηκε από την υποδομή αντι­γρά­φων ασφα­λείας και χρη­σι­μο­ποι­ή­θηκε, μετά από ενδε­λεχή έλεγχο ασφα­λείας, για την ανά­καμψη των συστη­μά­των και υπη­ρε­σιών του Πανε­πι­στη­μίου.

Η επίθεση αυτή είχε ως απο­τέ­λε­σμα την περιο­ρι­σμένη διαρροή προ­σω­πι­κών δεδο­μέ­νων. Το μέγεθος των δεδο­μέ­νων που διέρ­ρευσε ανέρ­χε­ται σε 813GB, σύμφωνα με τα έως τώρα στοι­χεία μας.

Ωστόσο, είναι σημα­ντικό να διευ­κρι­νί­σουμε ότι το συγκε­κρι­μένο μέγεθος αντι­προ­σω­πεύει ένα εξαι­ρε­τικά μικρό ποσοστό, σε σχέση με τον συνο­λικό όγκο δεδο­μέ­νων που δια­τη­ρεί το Ίδρυμα (μεγέ­θους πολλών terabytes), γεγονός που υπο­δη­λώ­νει ότι η διαρροή είναι περιο­ρι­σμέ­νης κλί­μα­κας.

Το μέγεθος αυτό μπορεί να συγκρι­θεί, ενδει­κτικά, με τη χωρη­τι­κό­τητα τοπικού δίσκου ενός τυπικού υπο­λο­γι­στή. Τα διαρ­ρεύ­σα­ντα αρχεία περιεί­χαν, σύμφωνα με τις έως τώρα ενδεί­ξεις, προ­σω­πικά δεδο­μένα σε διά­φο­ρες μορφές αρχείων (κατά κύριο λόγο doc, pdf, excel). Επι­πλέον, το αρχείο που έχει διαρ­ρεύ­σει βρί­σκε­ται στο σκο­τεινό δια­δί­κτυο (dark web), όπου η πρό­σβαση απαιτεί εξει­δι­κευ­μέ­νες, τεχνι­κές γνώσεις».

«Το Ε.Α.Π. εφάρ­μοσε όλα τα απα­ραί­τητα μέτρα για να δια­σφα­λί­σει την ελά­χι­στη, δυνατή διαρροή ενώ παράλ­ληλα, συνερ­γά­στηκε, άμεσα, με την Εθνική Αρχή Κυβερ­νο­α­σφά­λειας, τη Διεύ­θυνση Δίωξης Ηλε­κτρο­νι­κού Εγκλή­μα­τος και την Αρχή Προ­στα­σίας Δεδο­μέ­νων Προ­σω­πι­κού Χαρα­κτήρα.

Πιο συγκε­κρι­μένα:

Από την πρώτη στιγμή του συμ­βά­ντος (25/10/2024) ενη­με­ρώ­θηκε τόσο η Εθνική Αρχή Κυβερ­νο­α­σφά­λειας όσο και η Διεύ­θυνση Δίωξης Ηλε­κτρο­νι­κού Εγκλή­μα­τος. Η ενη­μέ­ρωση είναι συνεχής.

Γνω­στο­ποι­ή­θηκε, έγκαιρα, το περι­στα­τικό στην Αρχή Προ­στα­σίας Δεδο­μέ­νων Προ­σω­πι­κού Χαρα­κτήρα (ΑΠΔΠΧ). Η αρχική δήλωση επι­και­ρο­ποιεί­ται ανάλογα με τα δεδο­μένα.

Δημιουρ­γή­θηκε Ομάδα Δια­χεί­ρι­σης Περι­στα­τι­κού.

Οι Τεχνι­κές Υπη­ρε­σίες του Ιδρύ­μα­τος, σε συνερ­γα­σία με εξει­δι­κευ­μένη εται­ρεία, προ­έ­βη­σαν, άμεσα, σε όλες τις ενέρ­γειες για την αντι­με­τώ­πιση του περι­στα­τι­κού και τον περιο­ρι­σμό των επι­πτώ­σεών του. Πιο συγκε­κρι­μένα, την ίδια ημέρα (25/10/2024), έγινε απο­μό­νωση του συμ­βά­ντος (διακοπή λει­τουρ­γίας των συστη­μά­των που επη­ρε­ά­ζο­νται).

Ενη­μέ­ρωση των υπο­κει­μέ­νων των δεδο­μέ­νων και παροχή ενδει­κτι­κών οδηγιών για την προ­στα­σία των προ­σω­πι­κών τους δεδο­μέ­νων.

Ενί­σχυση της ευαι­σθη­το­ποί­η­σης του ακα­δη­μαϊ­κού και διοι­κη­τι­κού προ­σω­πι­κού σχετικά με την προ­στα­σία των προ­σω­πι­κών δεδο­μέ­νων και τους κιν­δύ­νους από κυβερ­νο­ε­πι­θέ­σεις.

Ετοι­μα­σία προ­κή­ρυ­ξης για ενί­σχυση της Τεχνι­κής Υπη­ρε­σίας με επι­πρό­σθετο εξει­δι­κευ­μένο προ­σω­πικό.

Κατα­τέ­θηκε μηνυ­τή­ρια αναφορά κατά αγνώ­στου και κατά παντός υπευ­θύ­νου για την κακό­βουλη επίθεση.

Έχουν, ήδη, τεθεί σε εφαρ­μογή στο­χευ­μένα μέτρα ενί­σχυ­σης της ασφά­λειας των πλη­ρο­φο­ρια­κών μας συστη­μά­των ενώ βρί­σκε­ται σε εξέλιξη μία συνο­λική ανα­βάθ­μιση της υπο­δο­μής μας, η οποία περι­λαμ­βά­νει την ενί­σχυση των υφι­στά­με­νων μηχα­νι­σμών προ­στα­σίας και την προ­σθήκη επι­πρό­σθε­των δικλί­δων ασφα­λείας.

Για λόγους ασφα­λείας, οι ακρι­βείς, τεχνι­κές ενέρ­γειες που έχουν, ήδη, ληφθεί ή προ­γραμ­μα­τι­στεί να πραγ­μα­το­ποι­η­θούν δε μπορούν να δημο­σιο­ποι­η­θούν.

Ενδε­χό­με­νες συνέ­πειες της διαρ­ροής για τα υπο­κεί­μενα των δεδο­μέ­νων

Μία διαρροή δεδο­μέ­νων μπορεί να έχει πιθανές συνέ­πειες για τα υπο­κεί­μενα των δεδο­μέ­νων, όπως:

Στο­χευ­μέ­νες επι­θέ­σεις ηλε­κτρο­νι­κού ψαρέ­μα­τος (phishing).

Από­πει­ρες απάτης, μέσω email ή τηλε­φώ­νου.

Ενδε­χό­μενη, μη εξου­σιο­δο­τη­μένη χρήση προ­σω­πι­κών πλη­ρο­φο­ριών που μπορεί να οδη­γή­σουν σε απάτες και κακό­βουλη χρήση αυτών των προ­σω­πι­κών πλη­ρο­φο­ριών από επι­τή­δειους ή εγκλη­μα­τίες.

Κατά­χρηση των δεδο­μέ­νων για δημιουρ­γία ψεύ­τι­κων λογα­ρια­σμών ή πλα­στο­γρα­φία στοι­χείων.

Διαρροή πλη­ρο­φο­ριών που μπορεί να οδη­γή­σει σε κοι­νω­νική μηχα­νική (social engineering).

Κακό­βουλη χρήση των πλη­ρο­φο­ριών, με στόχο απάτη (κυρίως οικο­νο­μική).

Στό­χευση για ανε­πι­θύ­μητη δια­φή­μιση ή ανε­πι­θύ­μη­τες κλήσεις (spam).

Παρα­βί­αση της ιδιω­τι­κής ζωής, μέσω ενδε­χό­με­νης διαρ­ροής προ­σω­πι­κών δεδο­μέ­νων σε μη εξου­σιο­δο­τη­μένα άτομα ή φορείς.

Υπο­κλοπή ταυ­τό­τη­τας (identity theft) και χρήση των προ­σω­πι­κών στοι­χείων για δόλιες δρα­στη­ριό­τη­τες.

Σημειώ­νε­ται ότι ο πιθανός αριθμός των εμπλε­κό­με­νων υπο­κει­μέ­νων φαί­νε­ται να είναι, αισθητά, περιο­ρι­σμέ­νος ενώ και οι κατη­γο­ρίες των δεδο­μέ­νων που ενδέ­χε­ται να έχουν διαρ­ρεύ­σει είναι, σημα­ντικά, λιγό­τε­ρες από όσες ανα­φέ­ρο­νται.

Παρ’ όλα αυτά, συνι­στούμε σε όλους τους ενδια­φε­ρό­με­νους να λαμ­βά­νουν τα κατάλ­ληλα μέτρα προ­στα­σίας, δια­σφα­λί­ζο­ντας τα δικαιώ­ματά τους ως υπο­κεί­μενα δεδο­μέ­νων. Με αυτόν τον τρόπο, όχι μόνο συμ­μορ­φώ­νο­νται με τις απαι­τή­σεις προ­στα­σίας αλλά και ενι­σχύ­ουν, ενεργά, την ιδιω­τι­κό­τητά τους», γράφει η ανα­κοί­νωση του ΕΑΠ.

Μέτρα προ­στα­σίας για τα υπο­κεί­μενα των δεδο­μέ­νων

Για την προ­στα­σία των φοι­τη­τών, το ΕΑΠ συνιστά να ακο­λου­θή­σετε τις εξής οδηγίες:

Αλλάξτε, άμεσα, τους κωδι­κούς πρό­σβα­σης στους λογα­ρια­σμούς σας (ηλε­κτρο­νι­κού ταχυ­δρο­μείου και υπη­ρε­σιών μητρώου). Συνι­στά­ται η χρήση ενός μονα­δι­κού και ισχυρού κωδικού, με του­λά­χι­στον 10 χαρα­κτή­ρες που να περι­λαμ­βά­νει συν­δυα­σμό κεφα­λαίων και πεζών γραμ­μά­των, αριθμών και συμ­βό­λων. Επι­πλέον, προ­τεί­νε­ται η τακτική αλλαγή του κωδικού, ιδανικά κάθε έξι μήνες.

Απο­φύ­γετε τη χρήση του ίδιου κωδικού πρό­σβα­σης σε πολ­λα­πλές υπη­ρε­σίες.

Να είστε προ­σε­κτι­κοί με emails ή τηλε­φω­νι­κές κλήσεις που ζητούν προ­σω­πικά στοι­χεία ή οικο­νο­μι­κές πλη­ρο­φο­ρίες.

Μην ανοί­γετε συν­δέ­σμους και μην κατε­βά­ζετε συνημ­μένα από άγνω­στες ή ύποπτες πηγές.

Παρα­κο­λου­θείτε τις συναλ­λα­γές σας για τυχόν μη εξου­σιο­δο­τη­μέ­νες κινή­σεις και ενη­με­ρώ­στε, άμεσα, την τράπεζά σας, σε περί­πτωση ύποπτης δρα­στη­ριό­τη­τας.

Χρη­σι­μο­ποι­ή­στε λογι­σμικό προ­στα­σίας από κακό­βουλο λογι­σμικό και δια­τη­ρή­στε το ενη­με­ρω­μένο.

Περιο­ρί­στε τη δημο­σί­ευση προ­σω­πι­κών πλη­ρο­φο­ριών σε δημό­σιες πλατ­φόρ­μες και κοι­νω­νικά δίκτυα.

Ρυθ­μί­στε ειδο­ποι­ή­σεις για ύποπτες συν­δέ­σεις ή δρα­στη­ριό­τητα στους λογα­ρια­σμούς σας.

Ενη­με­ρώ­στε, άμεσα, τον πάροχο υπη­ρε­σιών σας εάν παρα­τη­ρή­σετε ύποπτη δρα­στη­ριό­τητα σε προ­σω­πι­κούς ή επαγ­γελ­μα­τι­κούς σας λογα­ρια­σμούς.

Σε περί­πτωση που αρχί­σετε να λαμ­βά­νετε ανε­πι­θύ­μη­τες, εμπο­ρι­κές κλήσεις, εξε­τά­στε την πιθα­νό­τητα εγγρα­φής σας, μέσω των σχε­τι­κών, νόμιμων δια­δι­κα­σιών στο μητρώο της παρ. 2, άρθρου 11, Ν. 3471/2006.

Σε περί­πτωση που λαμ­βά­νετε ενο­χλη­τικά, δια­φη­μι­στικά email, μηνύ­ματα ή μηνύ­ματα τα οποία δε σχε­τί­ζο­νται με την εκπαι­δευ­τική δια­δι­κα­σία στις ηλε­κτρο­νι­κές διευ­θύν­σεις που σας έχουν δοθεί από το Ε.Α.Π., παρα­κα­λούμε να τα γνω­στο­ποιείτε στο Γραφείο Δικτυα­κών και Πλη­ρο­φο­ρια­κών Υπη­ρε­σιών, προ­ω­θώ­ντας τα εν λόγω μηνύ­ματα στην email διεύ­θυνση [email protected], έτσι ώστε να λαμ­βά­νο­νται όλα τα απα­ραί­τητα μέτρα.

Πηγή: insider.gr