Istraga zbog curenja podataka o više od 560 000 učenika i nastavnika

Pokrenuta je istraga velikog sigurnosnog propusta u kojem su procurili podaci o više od 560 000 hrvatskih učenika i nastavnika. Objavljena su njihova imena i prezimena, e-mail adrese i podaci o školama. Agencija za zaštitu osobnih podataka pokrenula je žurni nadzor nad CARNET-om.

Ovakvo curenje podataka više od 560 000 korisnika sustava dosad se nije dogodilo, priznaju u Carnetu.

Nije riječ o sigurnosnom skandalu jer, smatra resorni ministar - nisu ugroženi podaci vezani za sustav e-upisa.

Slijedi istraga, digitalna forenzika treba odgovoriti na važna pitanja - nakon propusta koji se dogodio mnogo prije nego što je otkriven, smatra savjetnik za kibernetičku sigurnost.

- Nerijetko napadi traju i preko 200 dana pa možda i ova baza datira od prošle godine na što će nam proces dati odgovore. Postavljamo jedno pitanje: kako to da sustavi koji nadziru poslovne podatke nisu reagirali, da se događa jedna anomalija koja se ne bi smjela događati, izjavio je Marko Gulan, savjetnik za kibernetičku sigurnost.

A prvi rezultati digitalne forenzike pokazali su da se krađa podataka dogodila preko aplikacija vanjskih dobavljača kojima se Carnet koristi, tvrdi jedan od vanjskih stručnjaka kojeg je Carnet pozvao u pomoć.

- Dobavljač je netko čije usluge koristi cijela Hrvatska i cijeli svijet, on radi na sigurnosnim sustavima i oni se redovito testiraju, ali i nadograđuju. Nijedan sustav nije napravljen da bi bio apsolutno siguran, nego da bi koristio svrsi, rekao je prof. dr. sc. Miroslav Bača, voditelj Centra kibernetičke sigurnosti, Sveučilište Sjever, sudski vještak za područje informatike.

Ovakvi incidenti izazivaju zabrinutost, a svatko u obrazovnom sustavu treba biti odgovoran za sigurnost podataka, smatra ravnateljica gimnazije u kojoj se danas pisao prijamni ispit.

- Ti se podaci unose u bazu, opet je sve iza korisničkih podataka, a i sustava. Mijenjam zaporku, i to je ono što ja mogu napraviti, neka higijena uređaja na kojima radimo, od antivirusnih programa, do toga da na službenim uređajima imamo samo ono što nam je za posao potrebno. To je mjera koju bi svatko trebao koristiti, smatra prof. Sonja Lušić Radošević, ravnateljica IX. gimnazije Zagreb.

MZOM: Obuhvaćeno 560 700 korisnika, nema naznaka da su kompromitirane zaporke

Ministarstvo znanosti, obrazovanja i mladih (MZOM) potvrdilo je da je uključeno u obradu incidenta curenja podataka 560 700 korisnika školskih sustava te da, prema dosadašnjim saznanjima, nije riječ o kompromitaciji zaporki ni sustava za autentikaciju. Agencija za zaštitu osobnih podataka pokrenula je žurno nadzorno postupanje nad CARNET-om.

Ministarstvo navodi da će školama tijekom dana biti poslani savjeti Nacionalnog CERT-a za zaštitu u slučaju curenja podataka, a upute su već javno dostupne na mrežnim stranicama CARNET-a i Nacionalnog CERT-a.

Ističe i da je CARNET, odmah nakon saznanja, aktivirao postupke upravljanja sigurnosnim incidentom i pokrenuo tehničku i forenzičku analizu, u koju su uključeni i neovisni vanjski stručnjaci.

Prema preliminarnim rezultatima, objavljeni podaci nisu preuzeti ni s jednog CARNET-ova sustava, nego nalikuju podacima iz sustava trećih strana, no analiza je i dalje u tijeku, naglasili su iz Ministarstva.

Ističu da trenutačno nema pokazatelja da su kompromitirane korisničke zaporke ili sustavi za autentikaciju, a prema dosadašnjim informacijama objavljeni podaci uključuju ime i prezime, adresu elektroničke pošte, naziv škole i korisničku ulogu.

Sumnje ili nepravilnosti odmah prijaviti na [e-mail]

"Korisnicima preporučujemo da budu posebno oprezni prema porukama u kojima se traže zaporke ili drugi osobni podaci, da ne otvaraju poveznice i privitke iz sumnjivih poruka te da koriste snažne i jedinstvene zaporke. Gdje god je dostupna, preporučujemo korištenje višefaktorske autentikacije. Ako korisnici posumnjaju na pokušaj prijevare ili uoče bilo kakvu nepravilnost, važno je da to odmah prijave na adresu [e-mail] kako bi se moglo pravodobno reagirati", naglasili su.

Ministarstvo je također najavilo podnošenje kaznene prijave protiv nepoznatog počinitelja zbog neovlaštene objave podataka te prijavu Agenciji za zaštitu osobnih podataka koju će podnijeti voditelj obrade.

Ističu i da u ovom trenutku nema potrebe za promjenom korisničkih zaporki, no ako istraga pokaže da su potrebne dodatne sigurnosne mjere, korisnici će o tome biti pravodobno obaviješteni putem službenih komunikacijskih kanala.

Curenje podataka: AZOP pokrenuo žurni nadzor nad CARNET-om

Agencija za zaštitu osobnih podataka pokrenula je žurno nadzorno postupanje nad CARNET-om po službenoj dužnosti nakon navoda o neovlaštenoj objavi osobnih podataka učenika i nastavnika iz hrvatskih škola.

Agencija će, navode u AZOP-u, prema potrebi, poduzeti odgovarajuće radnje i prema drugim voditeljima/izvršiteljima obrade ako se utvrdi povezanost s predmetnim incidentom.

Agencija ističe da dosad nije zaprimila izvješće o povredi osobnih podataka od voditelja obrade.

Naime, u slučaju povrede osobnih podataka, a u skladu s člankom 33. Opće uredbe o zaštiti podataka, voditelj obrade bez nepotrebnog odgađanja, i ako je izvedivo, najkasnije 72 sata nakon saznanja o incidentu, izvješćuje nadzorno tijelo, osim ako nije vjerojatno da će povreda osobnih podataka prouzročiti rizik za prava i slobode pojedinaca.

Nastavno na informacije da su ovim incidentom obuhvaćene i e-mail adrese učenika i nastavnika, AZOP upozorava na mogućnost povećanog broja phishing napada te drugih oblika internetskih prijevara usmjerenih prema navedenim korisnicima.

AZOP posebno poziva roditelje da obrate pozornost na poruke koje će učenici zaprimati na svoje e-mail adrese te da djecu upozore na moguće pokušaje prijevare.

- Roditeljima preporučujemo da razgovaraju s djecom o sigurnosti te da ih upozore da ne otvaraju sumnjive poveznice niti dijele korisnička imena, lozinke ili druge osobne podatke putem elektroničke pošte, stoji u priopćenju AZOP-a.

CARNET je potvrdio da je upoznat s neovlaštenim dijeljenjem podataka te da se utvrđuje vjerodostojnost podataka i kako su dospjeli u javnost.

Angažirani su i vanjski stručnjaci kako bi se pronašao krivac za objavljene podatke koji uključuju ime i prezime korisnika, adresu elektroničke pošte, naziv škole i korisničku ulogu.

- CARNET-ove usluge nisu ugrožene, sve funkcionira normalno. Važno je reći da nisu kompromitirane lozinke korisnika niti sustavi za autentikaciju podataka, što znači da nije moguć neovlašteni pristup njihovim korisničkim računima, rekla je Ana Smoljo, pomoćnica ravnatelja CARNET-a za digitalni identitet i komunikacije.

Habijan: Svi trebaju biti uključeni u prevenciju kibernetičkih napada

Ministar pravosuđa i digitalne transformacije Damir Habijan rekao je u ponedjeljak da u digitalnom dobu pitanje kibernetičke sigurnosti ne poznaje granice, istaknuvši kako će kibernetički napadi biti sve češći te da je potrebno da u prevenciju budu uključeni svi. 

Ministra su novinari upitali kako je došlo do neovlaštenog dijeljenja podataka povezanih s osnovnim i srednjim školama, a Habijan je napomenuo da ovo nije samo pitanje za Ministarstvo pravosuđa jer je riječ o međuresornom i interdisciplinarnom pitanju. 

- Nažalost, ovakvih pojavnosti, je li to kibernetički napad ili krađa podataka, određeni fake news ili phishing, bit će sve više i zato mislim da se svi u ovo moramo uključiti od prevencije i edukacije, a naravno onda i od naših tijela koja ovakve neželjene kibernetičke napade moraju u što je moguće većoj mjeri sprječavati, poručio je Habijan nakon obilježavanja Dana pravosudne policije u Glini.

Dodao je da je pitanje kibernetičke sigurnosti od krucijalne važnosti. 

- Na Vladi smo prošlog tjedna donijeli odluku da pristupamo jednoj konvenciji što se tiče kibernetičkog kriminaliteta upravo po pitanju međunarodne suradnje jer digitalno doba, odnosno pitanje digitalne ili kibernetičke sigurnosti ne poznaje fizičke granice kao što je država. Na to moramo biti spremni, istaknuo je.

Fuchs: Nije došlo do proboja CARNET-ova sustava

Ministar znanosti, obrazovanja i mladih Radovan Fuchs rekao je da je riječ o ''jednom proboju u mail adrese korisnika obrazovnog sustava'' te pritom naglasio da se proboj nije dogodio ''kroz naše sustave odnosno sustave CARNET-a''.

- Svi serveri, alati i sustavi obrazovnog sustava o kojima vodi brigu CARNET funkcioniraju besprijekorno, nije došlo do nikakvih proboja unutar toga, oni su i pod posebnom zaštitom. Prema tome nema nikakvih problema s upisima u dječje vrtiće niti ičega što se tiče e-Matice i bilo kakvih podataka što se tiče ocjena i slično te ništa vezano za upise u srednje škole i državnu maturu odnosno upise u fakultete nije ugroženo niti dovedeno u pitanje, tvrdi Fuchs.