Wyciek danych osobowych na Uniwersytecie Warszawskim. Dostęp do nich “mogła uzyskać osoba nieuprawniona”

Ponad dwa tygodnie temu – 5 listopada – Uniwersytet Warszawski został powiadomiony przez CERT Polska (zespół powołany do reagowania na zdarzenia naruszające bezpieczeństwo w Internecie) o krytycznych błędach w serwisie www.mimuw.edu.pl. Ustalono, że od 12 czerwca 2017 r. w serwisie tym dostępny był katalog z repetytorium kodu źródłowego, które zawierało wspomniane dane osobowe. Umieszczenie go tu – jak tłumaczy dziekan wydziału – było następstwem błędnych działań osób odpowiedzialnych za przygotowanie i konfigurację nowego serwisu www.mimuw.edu.pl. Repetytorium z danymi było ukryte. Aby uzyskać dostęp do katalogu, należało posiadać wiedzę związaną z hostingiem aplikacji WWW i używaniem repozytoriów kodu. “Dane osobowe nie były odsłonięte i w łatwy sposób dostępne publicznie. Do repozytoriów można było uzyskać dostęp tylko w wyniku wykonania działań inwazyjnych określonego typu, nie przez standardowe korzystanie z portalu” – pisze prof. Paweł Strzelecki.

Ludzki błąd

Po głębszej analizie zdarzenia i logów systemowych administrator systemu ustalił jednak, że dostęp do repozytorium mogła uzyskać osoba nieuprawniona. Administrator stwierdził też, że w repetytorium umieszczony był klucz dostępu, który umożliwiał wysyłanie zapytania do bazy uczelnianej dotyczącego konkretnej osoby.

Prof. Strzelecki podkreśla, że “incydent naruszenia jest wynikiem ludzkiego błędu”. “Przykro mi, że doszło do tego akurat na Wydziale MIM. Pragnę zapewnić, że podjęliśmy kroki, aby usunąć możliwość nieuprawnionego dostępu do danych, a także przeprowadzić wszechstronną analizę i audyt systemów informatycznych WMIM, tak, aby podobna sytuacja nie mogła powtórzyć się w przyszłości. Ściśle współpracujemy z władzami centralnymi i będziemy ściśle współpracować ze wszystkimi organami zewnętrznymi, które będą wyjaśniać skutki tego naruszenia” – deklaruje dziekan Wydziału Matematyki, Informatyki i Mechaniki UW.

Informuje, że wszystkie osoby, których dotyczy to zdarzenie, zostały indywidualnie powiadomione o wycieku danych.