zdjęcie ilustracyjne
Poważny incydent cyberbezpieczeństwa w jednej z ostrołęckich szkół podstawowych. Nieuprawniona osoba uzyskała dostęp do dziennika elektronicznego Vulcan, wykorzystując przejęte dane logowania do konta z uprawnieniami administracyjnymi. Mogło dojść do ujawnienia wrażliwych informacji o uczniach, w tym numerów PESEL, adresów zamieszkania, a nawet danych dotyczących zdrowia. Dyrekcja Szkoły Podstawowej nr 6 w Ostrołęce poinformowała rodziców o zagrożeniu i wskazała, jakie działania powinni podjąć, by chronić siebie i swoje dzieci. Sprawą zajmuje się policja.
Do ataku na dziennik elektroniczny w Szkole Podstawowej nr 6 im. Orła Białego w Ostrołęce doszło w niedzielę, 8 listopada. Jak wynika z oficjalnego zawiadomienia skierowanego do rodziców i opiekunów uczniów, nieznana osoba uzyskała nieautoryzowany dostęp do systemu Vulcan, przejmując poświadczenia konta posiadającego uprawnienia administracyjne.
Intruz nie ograniczył się jedynie do uzyskania dostępu do szkolnego systemu. Dokonał również zmian w jego ustawieniach technicznych oraz zamieścił fałszywą informację sugerującą zagrożenie bezpieczeństwa placówki.
Fałszywy alarm w dzienniku elektronicznym. Szkoła wyjaśnia, co się stało
Z informacji przekazanych rodzicom przez dyrekcję wynika, że haker zmodyfikował globalne parametry techniczne placówki, a następnie umieścił w module planu lekcji wpis sugerujący fikcyjne zagrożenie bezpieczeństwa szkoły.
Władze placówki zweryfikowały treść komunikatu i potwierdziły, że był to fałszywy alarm o charakterze dezinformacyjnym.
Nie stwierdzono, aby informacja zamieszczona przez intruza miała jakiekolwiek przełożenie na rzeczywiste bezpieczeństwo fizyczne uczniów i pracowników szkoły.
Znacznie poważniejsze mogą jednak okazać się konsekwencje związane z potencjalnym ujawnieniem danych osobowych przechowywanych w elektronicznym dzienniku.
Mogły wyciec numery PESEL, adresy i dane o zdrowiu uczniów
Dyrekcja Szkoły Podstawowej nr 6 w Ostrołęce ostrzegła rodziców, że w wyniku nieuprawnionego dostępu do systemu mogło dojść do naruszenia poufności danych osobowych uczniów oraz ich rodziców i opiekunów prawnych.
W przypadku uczniów zagrożone mogły być następujące informacje:
- imiona i nazwiska, adresy zamieszkania oraz numery PESEL,
- numery telefonów,
- oceny szkolne i informacje o frekwencji,
- wizerunki uczniów,
- dane dotyczące stanu zdrowia i specjalnych potrzeb edukacyjnych, zawarte m.in. w orzeczeniach i opiniach.
W przypadku rodziców i opiekunów prawnych potencjalne naruszenie obejmuje imiona i nazwiska, adresy zamieszkania oraz numery telefonów.
Szkoła podkreśla, że mogło dojść do naruszenia poufności tych danych. Nie oznacza to jednak, że potwierdzono ich skopiowanie lub wykradzenie przez sprawcę.
Ryzyko kradzieży tożsamości i oszustw. Dyrekcja ostrzega rodziców
W zawiadomieniu skierowanym do rodziców szczegółowo opisano potencjalne konsekwencje incydentu. Jednym z najpoważniejszych zagrożeń jest możliwość wykorzystania danych osobowych, w tym numerów PESEL, do prób kradzieży tożsamości.
Przestępcy mogą również wykorzystywać pozyskane informacje do podszywania się pod uczniów lub ich rodziców, rejestrowania kont w usługach internetowych czy podejmowania prób oszustw finansowych.
Niebezpieczne mogą być także wiadomości SMS, e-maile i połączenia telefoniczne od osób podszywających się pod zaufane instytucje. Dysponując prawdziwymi danymi osobowymi, oszuści mogą próbować uwiarygodnić swoje działania i nakłonić odbiorców do ujawnienia kolejnych informacji.
Policja w szkole. O incydencie powiadomiono także UODO i CERT Polska
Jak poinformowała dyrekcja, działania zabezpieczające rozpoczęto niezwłocznie po wykryciu nieprawidłowości 8 listopada.
O incydencie powiadomiono dostawcę dziennika elektronicznego, firmę Vulcan. W poniedziałek, 9 listopada, od godziny 8:00 rozpoczęto procedurę bezpiecznego ponownego uruchomienia systemu, odcięcia dostępu intruzowi oraz przywrócenia prawidłowych danych placówki.
O zdarzeniu poinformowano również policję oraz Wydział Oświaty Urzędu Miasta Ostrołęki. Już w poniedziałek rano funkcjonariusze rozpoczęli w szkole czynności związane z wyjaśnieniem okoliczności incydentu.
- Potwierdzam, że obecnie prowadzone są czynności dotyczące złamania zabezpieczeń systemu elektronicznego dziennika w jednej z ostrołęckich szkół. Na obecnym etapie nie ujawniamy szczegółów związanych z tymi czynnościami.
informuje nadkomisarz Tomasz Żerański, rzecznik prasowy Komendy Miejskiej Policji w Ostrołęce.
Naruszenie zgłoszono także Prezesowi Urzędu Ochrony Danych Osobowych oraz do CERT Polska działającego w strukturach NASK.
Szkoła przeprowadziła wymuszony reset haseł do strategicznych kont użytkowników i zablokowała aktywne sesje. Podjęto również decyzję o wdrożeniu obowiązkowego uwierzytelniania dwuskładnikowego dla pracowników posiadających uprawnienia do edycji danych w dzienniku elektronicznym.
Zaplanowany został również wewnętrzny audyt komputerów służbowych. Przewidziano także szkolenia przypominające dla pracowników z zakresu cyberbezpieczeństwa.
Co powinni zrobić rodzice? Szkoła apeluje o zastrzeżenie numerów PESEL
W związku z incydentem dyrekcja Szkoły Podstawowej nr 6 w Ostrołęce przekazała rodzicom i opiekunom zalecenia dotyczące ochrony danych osobowych.
Przede wszystkim wskazano na konieczność zmiany haseł do poczty elektronicznej, bankowości internetowej i innych usług, jeśli takie samo hasło było wcześniej wykorzystywane do logowania w dzienniku Vulcan.
Rodzice powinni również zachować szczególną ostrożność wobec podejrzanych wiadomości e-mail, SMS-ów oraz telefonów od nieznanych osób. Nie należy klikać w niezweryfikowane linki ani przekazywać poufnych informacji.
Jednym z najważniejszych zaleceń jest bezpłatne zastrzeżenie numeru PESEL. Można to zrobić przez usługę mObywatel lub w urzędzie gminy. Od 1 czerwca 2024 roku instytucje finansowe mają obowiązek sprawdzania statusu zastrzeżenia numeru PESEL przed udzieleniem m.in. kredytu lub pożyczki.
Szczegółowe informacje dotyczące procedury dostępne są na stronie rządowej: Zastrzeż swój numer PESEL – gov.pl.
W przypadku małoletnich uczniów szkoła zaleca również rozważenie monitorowania ewentualnych prób wykorzystania ich danych osobowych, np. poprzez dostępne usługi alertów kredytowych. W razie wykrycia próby nielegalnego wykorzystania danych dziecka należy niezwłocznie powiadomić policję.
Szkoła Podstawowa nr 6 w Ostrołęce. Gdzie uzyskać informacje?
Rodzice i opiekunowie, którzy mają pytania dotyczące naruszenia ochrony danych osobowych, mogą kontaktować się z wyznaczonym Inspektorem Ochrony Danych, pod numerem telefonu 29 764 59 11, e-mail: iod@ostroleka.edu.pl. Informacje można również uzyskać za pośrednictwem sekretariatu szkoły: sekretariat@sp6.ostroleka.edu.pl.
Sprawa cyberataku na dziennik elektroniczny ostrołęckiej podstawówki jest wyjaśniana.
2
3
16