Niebezpiecznik

Politechnika Warszawska ogarnia skutki wycieku i poinformowała, że miał on miejsce 3 maja. Wiarygodny informator doniósł nam jednak, że inne incydenty z systemem OKNO miały miejsce wcześniej. Winny miał być błąd SQL injection w jednym z plików, który według relacji informatora, po ataku został po prostu skasowany. Aktualizacja: Uczelnia zaprzecza tym doniesieniom.

W poniedziałek informowaliśmy, że nastąpił wyciek danych z Politechniki Warszawskiej, którego objawem było opublikowanie pliku SQL o rozmiarze 2,8 GB, zawierającego potężną dawkę danych kandydatów na studia, pracowników i tysięcy studentów z kilku ostatnich lat. W pliku znajdowały się nazwiska, dane kontaktowe, numery ewidencyjne, hasła, a także dane z dokumentów, które uczelnie na mocy prawa mogą zbierać, ale — na co już zwracaliśmy wielokrotnie uwagę — wydaje się to być zbędne i groźne. M.in. przez takie nadmiarowe w naszej opinii zbieranie danych przez uczelnie skalę i charakter wycieku można śmiało określić jako zatrważające.

SQL injection nie umarł

Teraz mamy kolejne, niestety złe wiadomości. Wiele wskazuje na to, że włamanie do systemu nie było pojedynczym zdarzeniem. Wiarygodny informator doniósł nam, że włamania do systemu OKNO następowały nie raz, a jedno z nich miało miejsce już na przełomie roku. Co gorsza, pracownicy PW mogli wiedzieć o tych zdarzeniach, ale nie uruchomiono komunikacji na temat wycieku. Wedle relacji informatora, ograniczyli się jedynie do usunięcia pliku zawierającego błąd. Informacje w tym zakresie otrzymaliśmy od osoby anonimowej, która dysponowała przekonującymi dowodami.

W związku z tymi informacjami skierowaliśmy nowe pytania do rzeczniczki prasowej Politechniki Warszawskiej. Czekamy na odpowiedzi. Uczelnia zaprzeczyła tym informacjom (zob. aktualizację na końcu tekstu).

Zobacz zapis godzinnego webinara, który poświęcony jest w całości tematyce wycieku danych Polaków (studentów także). Dowiedz się jak się uchronić przed wyciekami oraz jak sprawdzać, czy coś na Twój temat już wyciekło. Z materiału dowiesz się też co robić krok-po-kroku jeśli Twoje dane wyciekły (zarówno z Twojej winy jak i winy jakiejś firmy lub uczelni, której byłeś klientem/studentem). Materiał adresuje także kwestię tego, kiedy mamy szansę na odszkodowanie oraz pokazuje przydatne darmowe narzędzia i usługi. Kliknij tutaj, aby wykupić dostęp do nagrania! Na hasło WycieklyMiDaneZPW dostaniecie 35PLN zniżki.

Politechnika Informuje o wycieku

Politechnika Warszawska rozesłała już do studentów “zawiadomienia” o wycieku. Wynika z nich, że do wycieku doszło 3 maja. Potwierdzono zakres danych objętych wyciekiem (nazwiska, PESEL-e, dane kontaktowe, imiona rodziców, daty urodzenia). O sprawie mają być powiadomione organy ścigania i UODO (na powiadomienie urzędu PW ma 72 godziny od stwierdzenia naruszenia). Zalecono wymianę i zastrzeżenie dowodów osobistych a także ustawienie alertów. Dodatkowo użytkownicy logujący się po 1 marca zostali poproszeni o samodzielną zmianę haseł.

Warto też dodać, że PW opublikowała FAQ dla stuednów, w którym informuje o możliwości sprawdzenia, czy figuruję się na liście osób, których dane osobowe zostały ujawnione? Informację można uzyskać drogą mailową pisząc na pomoc.okno(at)pw.edu.pl.

Poniżej pełna treść “zawiadomienia” PW.

ZAWIADOMIENIE

Informujemy, że w dniu 3 maja 2020 w wyniku nieuprawnionego uzyskania dostępu do informacji poprzez złamanie zabezpieczeń nastąpiło nieuprawnione pobranie Pana/Pani danych osobowych z Platformy administracyjnej Ośrodka Kształcenia na Odległość PW (OKNO), w związku z czym może nastąpić nieuprawnione wykorzystanie tych danych.

W Pan/Pani przypadku ujawnieniu uległy następujące dane: imię i nazwisko, seria i nr dowodu osobistego, nr PESEL, adres, imiona rodziców, nazwisko rodowe matki, data urodzenia, adres e-mail, nazwa użytkownika, nr telefonu, adres zamieszkania lub pobytu, historia postępów w studiowaniu.

O naruszeniu ochrony danych osobowych Politechnika Warszawska powiadomi niezwłocznie Urząd Ochrony Danych Osobowych (UODO) oraz Policję.

W związku zpowyższym, pod adresem: pomoc.okno@pw.edu.pl można uzyskać więcej informacji.

W wyniku przedmiotowego naruszenia ochrony danych osobowych, istnieje prawdopodobieństwo wystąpienia dla Pani/Pana negatywnych skutków w postaci:

• uzyskania przez osoby trzecie na Pani/Pana szkodę kredytów w instytucjach pozabankowych, ponieważ wiele takich instytucji umożliwia uzyskanie kredytu lub pożyczki w łatwy i szybki sposób, np.: przez internet lub telefonicznie bez konieczności okazywania dokumentu tożsamości;
• uzyskania dostępu do korzystania ze świadczeń opieki zdrowotnej Pani/Panu przysługujących, ponieważ często dostęp do systemów rejestracji pacjenta można uzyskać telefonicznie potwierdzając swoją tożsamość za pomocą numeru PESEL;
• korzystania z praw obywatelskich np. do głosowania nad środkami budżetu obywatelskiego;
• wyłudzenia ubezpieczenia lub środków z ubezpieczenia, co może spowodować dla Pani/Pana negatywne konsekwencje, w postaci problemów związanych z próbą przypisania Pani/Panu odpowiedzialności za dokonanie takiego oszustwa;
• zawarcia umowy o świadczenie usług, np. telewizji kablowej, telefonu, internetu, a następnie zaprzestanie opłacania rachunków i spowodowanie dla Pani/Pana negatywnych konsekwencji w postaci zadłużenia;
• zarejestrowania przedpłaconej karty telefonicznej (pre-paid), która może posłużyć do celów przestępczych;
• przetwarzania danych osobowych w celach marketingowych, bez uprzedniego uzyskania Pani/Pana zgody.

W związku z powyższym w celu zminimalizowania ewentualnych negatywnych skutków naruszenia, proponuję:

1. zastrzeżenie danych w banku;
2. zastrzeżenie dowodu osobistego oraz złożenie zastrzeżenia kredytowego w Biurze Informacji Kredytowej BIK (gwarantujące otrzymywanie alertów w przypadku prób uzyskania kredytu na zastrzeżone dane osobowe) oraz w rejestrze dłużników BIG InfoMonitor; usługi w zakresie zapobiegania próbom wyłudzenia kredytu lub pożyczki świadczy ponadto Platforma ChronPESEL.pl. Użytkownik konta w serwisie ChronPESEL.pl jest informowany natychmiast sms-em, gdy ktoś próbuje zaciągnąć kredyt na jego konto, a jeśli by do wyłudzenia doszło, otrzymuje wsparcie prawne;
3. zastrzeżenie numeru PESEL poprzez aktywowanie usługi Bezpieczny Pesel przez CRIF Poland,
4. zgłoszenie faktu naruszenia danych właściwym organom, w celu zapobieżenia tzw. „kradzieży tożsamości”;
5. ewentualną wymianę dowodu osobistego;
6. zachowanie ostrożności przy podawaniu danych osobowych innym osobom, zwłaszcza za pośrednictwem internetu czy telefonu.

Aby zapobiec potencjalnym wykorzystaniem wykradzionych skrótów haseł (jeśli osoby dotknięte wyciekiem danych używały tego samego hasła do logowania w Centralnym Systemie Uwierzytelniania PW):

1. Jeśli użytkownik logował się po 1 marca br., zalecamy samodzielną zmianę hasła w Centralnym Systemie.
2. Jeśli użytkownik nie logował się po 1 marca br., hasła zostały wygenerowane losowo. Po ich odzyskanie prosimy o zwrócenie się do właściwych dziekanatów.”

Wyjaśniam, iż po zalogowaniu się w BIK (Biurze Informacji Kredytowej) instytucje finansowe, które przystąpiły do systemu, nie udzielą kredytu na zastrzeżone dane. W pakiecie użytkownik otrzymuje powiadomienia (alerty) o możliwych próbach wyłudzenia kredytu na zastrzeżone dane osobowe, a jeżeli w Rejestrze Dłużników BIG InfoMonitor pojawia się zapytanie, to system powiadamia o tym, że na zastrzeżone dane osobowe ktoś chce np. podpisać umowę na abonament komórkowy. Podobnie działa platforma ChronPESEL.pl. W systemie BIK można również dokonać zastrzeżenia dowodu osobistego. Można również skorzystać z usługi bezpieczny PESEL oferowanej CRIF Poland, która zabezpiecza przed wzięciem pożyczek (w tym również chwilówek) na podstawie zastrzeżonych danych. Zastrzeżenie w tej usłudze jest dostępne dla firm pożyczkowych, które przystąpiły do tego programu.

Ewentualnie można rozważyć możliwość wymianę dowodu osobistego. Sposobów jest kilka – można złożyć papierowy wniosek w urzędzie gminy lub elektroniczny formularz na stronie internetowej. Czas oczekiwania na wydanie nowego dowodu to 30 dni.  ydanie i wymiana dokumentu jest bezpłatna. Od 4 marca 2019 roku wydawany jest jedynie e-dowód, czyli dowód z warstwą elektroniczną.

Jednocześnie zapewniam, iż Administrator Danych Osobowych podejmie wszelkie możliwe działania w celu wzmocnienia ochrony danych osobowych, tak, aby podobna sytuacja nie miała miejsca w przyszłości.

Prof. dr hab. inż. Stanisław Wincenciak

Prorektor ds. rozwoju

Aktualizacja 7.05.2020 8:37

Izabela Koptoń-Ryniec, Kierownik Sekcji ds. Komunikacji Społecznej i Mediów pełniąca zadania rzecznika prasowego PW odpowiedziała nam na pytania dotyczące informacji przedstawionych w tym tekście.

Szanowny Panie Redaktorze,

w odpowiedzi na maila z dnia 6 maja 2020 roku uprzejmie wyjaśniam, iż wyciek danych osobowych z systemu OKNO w dniu 3 maja 2020 roku jest pojedynczym przypadkiem. Wcześniej nie było żadnych incydentów z wyciekiem danych osobowych podlegających zgłoszeniu do UODO. Nie polegają więc na prawdzie twierdzenia, że włamania do systemu i wycieki następowały kilka razy, a osoby administrujące systemem zatajały te fakty. Rozpowszechnianie takich informacji wprowadza jedynie niepotrzebny chaos informacyjny i rozbudza nieuzasadnione obawy osób, których danymi administruje PW. Doceniamy Państwa zaangażowanie w przekazywanie rzetelnych i sprawdzonych informacji. W związku z tym prosimy, aby niniejsza odpowiedź została upowszechniona na Waszym portalu.

Rzuciło nam się w oczy, że odpowiedź nie wspomina o absolutnym braku incydentów wyciekowych ale o braku incydentów “podlegających zgłoszeniu do UODO”. Możemy chyba jednak uznać, że są rozbieżności między stanowiskami politechniki i informatora zbliżonego do sprawy. W sumie mogą one prowadzić do jednego, raczej pocieszającego wniosku. Najwyraźniej nie stało się nic na tyle poważnego, aby PW musiała teraz do tego wracać, a z całą pewnością na uczelni trwało i może dalej trwa intensywne dochodzenie dotyczące ostatniego wycieku.