Pracownicy i studenci University of York stoją w obliczu naruszenia danych, które ujawniło wiele danych osobowych

We wtorek University of York opublikował powiadomienie na swojej stronie internetowej, w którym poinformował pracowników, studentów i absolwentów, że ich dane mogły zostać naruszone. Incydent miał miejsce w maju i dotyczył danych osobowych, takich jak nazwiska i daty urodzenia, dane kontaktowe, takie jak telefony, adresy e-mail i profile na LinkedIn, a także sporo danych związanych z działalnością naukową ofiar.

Liczba poszkodowanych osób pozostaje nieznana, ale University of York zapewnił nas, że podczas naruszenia nie ukradziono żadnych danych karty kredytowej. Mimo to potencjalna możliwość kradzieży tożsamości jest bardzo realna dla zaangażowanych osób, a jedyną rzeczą, na której mogą polegać, aby je chronić, jest uczciwość cyberprzestępców.

Do naruszenia doszło u osoby trzeciej

Systemy informatyczne Uniwersytetu York nigdy nie zostały naruszone. Atak był wymierzony w partnera uniwersytetu o nazwie Blackbaud. Blackbaud jest dostawcą rozwiązań do zarządzania relacjami z klientami (CRM) dla organizacji akademickich i organizacji non-profit, a 16 lipca wydał publiczne oświadczenie w sprawie naruszenia.

Dostawca CRM ogłosił, że w maju został zaatakowany przez oprogramowanie ransomware, a następnie wyjaśnił, jak zareagował. Wygląda na to, że Blackbaud szybko wykrył włamanie i przy pomocy specjalistów od cyberbezpieczeństwa zdołał wyrzucić napastników. Pomimo błyskawicznych reakcji oszustom udało się uciec z niektórymi danymi, w tym danymi osobowymi i kontaktowymi studentów i pracowników University of York.

Blackbaud zapłacił okup

Blackbaud rozpoczął swoje powiadomienie od wyjaśnienia, jak duży jest przemysł cyberprzestępczości, a następnie opowiedział nam, jak zrobił swoje małe rzeczy, aby go wspierać. Dzięki szybkiej reakcji Blackbauda hakerom nie udało się zaszyfrować żadnych plików. Jednak mieli przy sobie skradzione dane i, naturalnie, postanowili wykorzystać je jako dźwignię do wymuszenia.

Jak się okazuje, to był dobry pomysł. Blackbaud przyznał w swoim zawiadomieniu, że zapłacił okup w nieokreślonej wysokości.

Czy zapłacenie okupu to taki dobry pomysł?

Pozornie zapłacenie okupu jest bardzo szlachetną rzeczą. W efekcie dostawca CRM pozbawia się niektórych ciężko zarobionych zysków, aby mieć pewność, że dane swoich klientów nie zostaną niewłaściwie wykorzystane.

Niestety nie ma pewności, że dane są rzeczywiście bezpieczne. Według Blackbauda, po zapłaceniu okupu cyberprzestępcy dostarczyli „potwierdzenia”, że kopia skradzionych danych została usunięta. Niestety, zarówno Blackbaud, jak i ludzie, których dane zostały naruszone, nie mają innego wyjścia, jak tylko uwierzyć oszustom na słowo. Biorąc pod uwagę, że mówimy o grupie bezwzględnych cyberprzestępców, trudno im ufać, dlatego studentom, pracownikom i absolwentom University of York nadal zaleca się wypatrywanie jakichkolwiek oznak kradzieży tożsamości.