האוניברסיטה הטכנית של דנמרק מודה שהיא לא יכולה לדעת מה בדיוק הורד ממנה. מה שכן ידוע: מישהו השתלט על חשבונות של משתמשי האוניברסיטה, נכנס איתם למערכת שמנהלת את הזהויות וההרשאות שלה, והוריד משם מידע שנצבר מאז 2003. באותה מערכת יושבים פרטים של כ-40 אלף משתמשים פעילים ועוד כ-160 אלף משתמשים מהעבר.

מה קרה

ביום שישי פרסמה DTU, האוניברסיטה הטכנית של דנמרק, הודעה על דליפת מידע אישי מתוך מערכת בשם DTUBasen. זאת המערכת שמחזיקה את רשימת האנשים בארגון ואת מה שכל אחד מהם מורשה לגשת אליו, ובעולם המקצועי קוראים לה identity and access management.

התוקפים לא ניצלו שום חולשה בתוכנה. הם השיגו פרטי אימות של משתמשי DTU והתחברו איתם, כלומר נכנסו מהדלת הראשית עם שם משתמש וסיסמה תקינים. צוות התגובה של האוניברסיטה בלם את המתקפה, החקירה נמשכת עם מומחים חיצוניים, והאירוע דווח לרשות להגנת המידע בדנמרק.

המידע שעלול היה להיחשף כולל, אצל משתמשים פעילים, את מספר הזהות הדני (CPR), שם מלא, כתובת בית ותמונת פרופיל, וגם כתובת מייל בעבודה, תפקיד ומקום המשרד. מי שרשם במערכת איש קשר לשעת חירום חשף גם את שמו, את הקשר אליו ואת מספר הטלפון שלו. אצל משתמשי העבר הכתובת, התמונה ופרטי איש הקשר נמחקים אוטומטית אחרי חצי שנה, אבל מספר הזהות והשם נשארים שם.

לדברי מנהל האוניברסיטה, Bjarke Bak Christensen, מדובר במתקפה חמורה והאוניברסיטה מצטערת על חוסר הוודאות שהיא יוצרת למי שהפרטים שלו אולי נחשפו. חוסר הוודאות הזה הוא חלק מהסיפור. כשאין דרך לדעת מה הורד, כל מי שהיה קשור לאוניברסיטה מאז 2003 צריך להניח שהפרטים שלו שם.

למה זה חשוב לכם

ה-CPR הדני הוא בדיוק מה שמספר תעודת הזהות הוא אצלנו. מספר זהות שדלף, יחד עם כתובת בית ומקום עבודה, הוא חומר הגלם של הודעת פישינג שנשמעת אמיתית, כי מי שפונה אליכם יודע עליכם דברים נכונים. DTU עצמה מזהירה שהמידע עלול לשמש גם לגניבת זהות.

החלק שעובר מדנמרק לכאן הוא המנגנון. לא נדרשה פה שום חולשה, רק סיסמה אחת שהגיעה לידיים הלא נכונות, ולכם יש חשבונות כאלה במקום העבודה, במוסד הלימודים ובקופת החולים. ויש פה עוד נקודה שכדאי לעצור עליה: הטלפון של איש הקשר לשעת חירום נמצא בקובץ הזה בלי שאותו אדם אי פעם למד או עבד ב-DTU.

מה עושים?

אם קיבלתם בקשת אישור כניסה לחשבון שלא ניסיתם להיכנס אליו, סרבו והחליפו סיסמה. בקשה כזאת היא בעצם הודעה שמישהו אחר מחזיק את הסיסמה שלכם.

אל תשתמשו בסיסמה של העבודה או של מוסד הלימודים באף מקום אחר. אם כבר עשיתם זאת, החליפו אותה שם עכשיו.

הפעילו אימות דו-שלבי בחשבונות המוסדיים, ועדיף קוד מאפליקציה ולא הודעת SMS.

כשפונה אליכם מישהו שיודע עליכם פרטים נכונים, זה לא אימות. סיימו את השיחה וחייגו חזרה למספר הרשמי של הארגון.

מספר תעודת הזהות שלכם לא מתחלף אחרי דליפה. גם הטלפון של מי שרשמתם כאיש קשר לשעת חירום, לא.