Μαθαίνοντας από τη διαρροή πληροφοριών του Πανεπιστημίου Keio (慶応大学): Διαχείριση κρίσεων και ο ρόλος του δικηγόρου

Η διαρροή πληροφοριών λόγω παράνομης πρόσβασης δεν περιορίζεται μόνο στις επιχειρήσεις αλλά συμβαίνει και στον εκπαιδευτικό χώρο, ωστόσο η αντίδραση σε αυτό φαίνεται να διαφέρει ελαφρώς από αυτή των επιχειρήσεων.

Ειδικότερα, όσον αφορά τα προσωπικά δεδομένα, καθώς οι μαθητές και το προσωπικό αποτελούν τον πυρήνα, η δημοσιοποίηση πληροφοριών σε περίπτωση περιστατικού διαρροής πληροφοριών τείνει να περιορίζεται σε έναν περιορισμένο κύκλο ατόμων.

Ωστόσο, η προστασία των προσωπικών δεδομένων δεν διαφέρει είτε πρόκειται για επιχειρήσεις είτε για σχολεία, και οι βασικές αρχές διαχείρισης κρίσεων σε περιπτώσεις διαρροής πληροφοριών είναι οι ίδιες.

Έτσι, σε αυτό το άρθρο θα αναλύσουμε τα σημεία του συστήματος διαχείρισης κρίσεων με βάση την αντίδραση του Πανεπιστημίου Keio Shonan Fujisawa Campus (εφεξής, Keio SFC) σε ένα περιστατικό διαρροής προσωπικών δεδομένων λόγω παράνομης πρόσβασης.

Περίληψη του Συμβάντος Διαρροής Πληροφοριών στο Keio SFC

Τα κύρια σημεία του περιστατικού διαρροής πληροφοριών που προκλήθηκε από παράνομη πρόσβαση στο Keio SFC είναι τα εξής:

• Ανακάλυψη της διαρροής: Στις 29 Σεπτεμβρίου 2020 (Reiwa 2), τα ξημερώματα, ανακαλύφθηκε η πιθανότητα διαρροής πληροφοριών λόγω παράνομης πρόσβασης στο σύστημα υποστήριξης μαθημάτων (SFC-SFS).
  ※Το SFC-SFS είναι ένα σύστημα που περιλαμβάνει λειτουργίες όπως αποστολή μαζικών email σε φοιτητές, λήψη καταλόγων φοιτητών, καταχώρηση και παραλαβή εργασιών, καταχώρηση βαθμολογιών (σχόλια), καθώς και εισαγωγή και προβολή σχολίων σε έρευνες μαθημάτων.
• Αιτία της διαρροής: Κλάπηκαν τα ID και οι κωδικοί πρόσβασης 19 χρηστών του συστήματος, τα οποία χρησιμοποίησε παράνομα τρίτος για να εισέλθει στο σύστημα. Η ευπάθεια του SFC-SFS θεωρείται η κύρια αιτία.
• Έκταση της διαρροής: Προσωπικά δεδομένα φοιτητών και προσωπικού που διαχειρίζεται το Shonan Fujisawa Campus.
• Περιεχόμενο της διαρροής: Περιλαμβάνει «όνομα», «διεύθυνση», «όνομα λογαριασμού», «ηλεκτρονική διεύθυνση», καθώς και «φωτογραφία προσώπου», «αριθμός μητρώου», «πληροφορίες απόκτησης μονάδων», «ημερομηνία εισαγωγής» για τους φοιτητές, ενώ για το προσωπικό περιλαμβάνει «αριθμός προσωπικού», «θέση», «προφίλ», «προσωπικά δεδομένα email» και άλλα.
• Αριθμός περιστατικών διαρροής: Υπάρχει πιθανότητα διαρροής πληροφοριών για περίπου 33,000 περιστατικά.

Ανακάλυψη Παράνομης Πρόσβασης και Αρχική Αντίδραση

Στις 15 Σεπτεμβρίου, περίπου στις 17:45, η ΙΤ ομάδα του Keio SFC εντόπισε ενδείξεις επιλεκτικής εξερεύνησης ευπαθειών στο σύστημα SFC-SFS.

Επιπλέον, το βράδυ της 28ης Σεπτεμβρίου, ανιχνεύθηκε ύποπτη πρόσβαση στο σύστημα SFC-SFS και μετά από έρευνα, τα ξημερώματα της 29ης Σεπτεμβρίου αποκαλύφθηκε η πιθανότητα διαρροής πληροφοριών λόγω παράνομης πρόσβασης.

Το Keio SFC ξεκίνησε τις ακόλουθες αρχικές αντιδράσεις την επόμενη μέρα από την επιβεβαίωση της εξερεύνησης ευπαθειών, η οποία αποτελεί προάγγελο παράνομης πρόσβασης:

• Αίτημα αλλαγής κωδικών πρόσβασης όλων των χρηστών (16 Σεπτεμβρίου, 30 Σεπτεμβρίου)
• Συνεχής παρακολούθηση όλων των σημείων πιστοποίησης και των αντίστοιχων καταγραφών (από τις 16 Σεπτεμβρίου και συνεχίζεται)
• Περιορισμός των συνδέσεων στους κοινόχρηστους υπολογιστικούς διακομιστές από εκτός πανεπιστημίου σε αυτούς που γίνονται μόνο μέσω δημόσιου κλειδιού (16 Σεπτεμβρίου)
• Διακοπή λειτουργίας των Web υπηρεσιών με επιβεβαιωμένες ευπάθειες και επιδιόρθωση των ευπαθών σημείων【υπό εκτέλεση】(σταδιακά από τις 16 Σεπτεμβρίου, SFC-SFS στις 29 Σεπτεμβρίου)
• Διακοπή του συστήματος SFC-SFS (29 Σεπτεμβρίου)

Σχετικά με την Αρχική Αντίδραση του Keio SFC

Σε περίπτωση ανακάλυψης παράνομης πρόσβασης, είναι βασικό να συσταθεί μια ομάδα διαχείρισης κρίσεων για την αρχική αντίδραση, αλλά σε αυτή την περίπτωση φαίνεται ότι η ΙΤ ομάδα του Keio SFC, με επικεφαλής τον κ. Kuninori, ο οποίος είναι μόνιμος διευθυντής του Keio Gijuku και ταυτόχρονα ο ανώτατος υπεύθυνος πληροφοριών και ασφάλειας, λειτούργησε ως τέτοια ομάδα.

Στην αρχική αντίδραση, είναι σημαντικό να πραγματοποιηθούν «απομόνωση πληροφοριών», «διακοπή δικτύου» και «διακοπή υπηρεσιών» για να αποτραπεί η επέκταση της ζημιάς και η εμφάνιση δευτερογενών ζημιών. Ωστόσο, στην περίπτωση του Keio SFC, δεδομένου ότι οι χρήστες του συστήματος περιορίζονται σε φοιτητές και προσωπικό, δόθηκε προτεραιότητα στην αλλαγή κωδικών πρόσβασης και στον περιορισμό των μεθόδων σύνδεσης.

Ωστόσο, το γεγονός ότι η ομάδα αντέδρασε άμεσα μετά την επιβεβαίωση των ενδείξεων παράνομης πρόσβασης και, επιπλέον, διέκοψε το σύστημα SFC-SFS στις 29 Σεπτεμβρίου μόλις αποκαλύφθηκε η πιθανότητα διαρροής πληροφοριών, μπορεί να θεωρηθεί ως κατάλληλη διαχείριση κρίσης.

Αυτό που προκαλεί ανησυχία σχετικά με την αρχική αντίδραση του Keio SFC είναι αν έχουν ληφθεί μέτρα διατήρησης των αποδείξεων και αν έχει γίνει αναφορά στις εποπτικές αρχές ή στην αστυνομία για την παράνομη πρόσβαση, που αποτελεί έγκλημα. Δεν υπάρχουν αναφορές σε δελτία τύπου ή στα μέσα ενημέρωσης, επομένως δεν μπορούμε να επιβεβαιώσουμε αυτό το σημείο.

Ενημέρωση των Εμπλεκομένων

Η ενημέρωση των φοιτητών και του προσωπικού του Keio SFC πραγματοποιήθηκε με τη μορφή επαγγελματικών επικοινωνιών μέσω email, και φαίνεται ότι η πρώτη αναφορά σε διαρροή προσωπικών δεδομένων έγινε στο email της 30ης Σεπτεμβρίου.

Στις 29 Σεπτεμβρίου, ενημερώθηκαν τα μέλη του προσωπικού του Keio SFC ότι λόγω «σοβαρού προβλήματος» διακόπηκε το σύστημα SFC-SFS.

Στις 30 Σεπτεμβρίου, ενημερώθηκαν όλοι οι χρήστες του SFC-SFS ότι λόγω αυτού του προβλήματος υπάρχει πιθανότητα διαρροής των «πληροφοριών λογαριασμού χρηστών» και ζητήθηκε η αλλαγή των κωδικών πρόσβασης.

Επιπλέον, ενημερώθηκαν τα μέλη του προσωπικού ότι λόγω της διακοπής του SFC-SFS, δεν θα μπορούσαν να πραγματοποιηθούν οι επιλογές μαθημάτων ή οι επικοινωνίες με τους φοιτητές όπως προγραμματισμένο, και για αυτό θα υπήρχε προσωρινή διακοπή των μαθημάτων.

Το J-CAST News, αφού πληροφορήθηκε αυτά τα γεγονότα, πραγματοποίησε έρευνα και την ίδια μέρα δημοσίευσε ένα άρθρο με τίτλο «Σοβαρό πρόβλημα στο σύστημα μαθημάτων του Keio SFC, η έναρξη του φθινοπωρινού εξαμήνου καθυστερεί κατά μία εβδομάδα», αποκαλύπτοντας δημοσίως τη διαρροή των «πληροφοριών λογαριασμού χρηστών».

Στις 1 Οκτωβρίου, η ιστοσελίδα του Keio SFC ενημέρωσε τους φοιτητές ότι λόγω της πιθανότητας παράνομης πρόσβασης, το SFC-SFS διακόπηκε στις 29 Σεπτεμβρίου και ότι λόγω αυτού του προβλήματος θα υπήρχε διακοπή των μαθημάτων από την 1η έως την 7η Οκτωβρίου. (※Δεν αναφέρεται η διαρροή προσωπικών δεδομένων)

Δελτίο Τύπου μετά την Ανακάλυψη Διαρροής Πληροφοριών

Η πρώτη ανακοίνωση σχετικά με τη διαρροή προσωπικών δεδομένων λόγω παράνομης πρόσβασης έγινε στις 10 Νοεμβρίου μέσω της ιστοσελίδας μας.

Πρόσφατα, διαπιστώθηκε ότι στο σύστημα δικτύου πληροφοριών (SFC-CNS) και στο σύστημα υποστήριξης μαθημάτων (SFC-SFS) του πανεπιστημιακού κάμπους Shonan Fujisawa, κλάπηκαν με κάποιον τρόπο τα στοιχεία εισόδου (ID και κωδικοί πρόσβασης) 19 χρηστών (μελών του προσωπικού και καθηγητών), και μέσω αυτών πραγματοποιήθηκε παράνομη πρόσβαση από τρίτους και επίθεση εκμεταλλευόμενη τις ευπάθειες του συστήματος υποστήριξης μαθημάτων (SFC-SFS), με αποτέλεσμα την πιθανή διαρροή προσωπικών δεδομένων των χρηστών. Ζητούμε ειλικρινά συγγνώμη για την ανησυχία και την ταλαιπωρία που προκλήθηκε στους εμπλεκόμενους. Επιπλέον, μέχρι στιγμής δεν έχουν επιβεβαιωθεί περιστατικά δευτερογενούς ζημιάς.

Δελτίο Τύπου του Πανεπιστημίου Keio για την παράνομη πρόσβαση στα συστήματα SFC-CNS και SFC-SFS και τη διαρροή προσωπικών δεδομένων

Το δελτίο τύπου περιείχε επίσης λεπτομερείς πληροφορίες για τα ακόλουθα θέματα:

• Το περιεχόμενο των προσωπικών δεδομένων που ενδέχεται να διέρρευσαν
• Πώς ανακαλύφθηκε η διαρροή
• Τι προκάλεσε τη διαρροή
• Τις ενέργειες που ακολούθησαν μετά την ανακάλυψη
• Την τρέχουσα κατάσταση
• Μέτρα για την αποτροπή επανάληψης

Τα παραπάνω στοιχεία καλύπτουν σχεδόν όλα τα απαραίτητα στοιχεία που πρέπει να περιλαμβάνει ένα δελτίο τύπου σχετικά με διαρροή πληροφοριών.

Σχετικά με το Δελτίο Τύπου του Keio SFC

Χρονική στιγμή του Δελτίου Τύπου

Θα έπρεπε αρχικά το Keio SFC να έχει κάνει την ανακοίνωση από μόνο του, ωστόσο η δημοσίευση έγινε 41 ημέρες μετά την αναφορά του J-CAST News, κάτι που δεν μπορεί να θεωρηθεί παρά ως καθυστέρηση.

Αυτό συμβαίνει επειδή, σε περίπτωση διαρροής προσωπικών δεδομένων, είναι επιτακτική η ανάγκη ενημέρωσης των ατόμων των οποίων τα δεδομένα έχουν διαρρεύσει, προκειμένου να αποφευχθούν δευτερογενείς ζημιές.

Ωστόσο, δεν υπάρχει πρόβλημα εάν στις 30 Σεπτεμβρίου, κατά την αίτηση αλλαγής κωδικού πρόσβασης, είχαν ήδη ενημερωθεί οι χρήστες για τα συγκεκριμένα στοιχεία του λογαριασμού τους.

Προειδοποίηση για απάτες και ενοχλητικές πράξεις

Στο δελτίο τύπου που ακολούθησε την ανακάλυψη της διαρροής πληροφοριών, πρέπει να γίνει ανακοίνωση του περιστατικού και να ενημερωθούν τα άτομα των οποίων τα προσωπικά δεδομένα έχουν διαρρεύσει, ζητώντας συγγνώμη και προειδοποιώντας για τον κίνδυνο απάτης ή ενοχλητικών πράξεων.

Ακόμη και πληροφορίες που παραμένουν εντός ενός κλειστού πανεπιστημιακού κάμπους μπορεί να καταλήξουν να διαρρεύσουν στον εξωτερικό κόσμο και να χρησιμοποιηθούν εσφαλμένα, γεγονός που καθιστά την προειδοποίηση για απάτες και ενοχλητικές πράξεις απαραίτητη και σε αυτή την περίπτωση.

Το Κέντρο Διαχείρισης Κρίσεων

Το Keio SFC αναφέρει στο δελτίο τύπου του για τα “μέτρα πρόληψης επανάληψης” τα εξής σχετικά με το κέντρο διαχείρισης:

Στο Keio Gijuku, λαμβάνοντας υπόψη το πρόσφατο περιστατικό μη εξουσιοδοτημένης πρόσβασης, θα αναλάβουμε άμεσα δράση σε ολόκληρο το πανεπιστήμιο για τον έλεγχο και τη βελτίωση της ασφάλειας των web εφαρμογών και των συστημάτων, καθώς και για την αναθεώρηση της διαχείρισης των προσωπικών δεδομένων, με στόχο την πρόληψη επανάληψης τέτοιων περιστατικών. Επιπλέον, από την 1η Νοεμβρίου 2020 (Reiwa 2), έχουμε συστήσει εντός του πανεπιστημίου την ομάδα CSIRT (Ομάδα Αντίδρασης σε Περιστατικά Ασφάλειας Πληροφοριών), και θα συνεργαστούμε με εξωτερικούς ειδικούς οργανισμούς για τη δημιουργία μιας οργάνωσης που μπορεί να ανταποκριθεί συνολικά στην κυβερνοασφάλεια, ενώ ταυτόχρονα θα εργαστούμε για την περαιτέρω ενίσχυση της ασφάλειας σε ολόκληρο το πανεπιστήμιο.

Δελτίο Τύπου του Keio Gijuku για τη διαρροή προσωπικών δεδομένων λόγω μη εξουσιοδοτημένης πρόσβασης στα SFC-CNS και SFC-SFS

Η αρχική αντίδραση στο περιστατικό φαίνεται να έγινε από την εσωτερική οργάνωση του Keio SFC, η οποία ανέλαβε το ρόλο του κέντρου διαχείρισης. Ωστόσο, η ομάδα CSIRT που συστάθηκε στις 1 Νοεμβρίου 2020 (Reiwa 2) αντιστοιχεί σε έναν οργανισμό που θα λειτουργήσει ως κέντρο διαχείρισης κρίσεων και θα ενισχύσει την ασφάλεια, καθώς και θα αντιμετωπίσει τυχόν μελλοντικά περιστατικά.

Η σύνθεση των μελών της CSIRT δεν είναι γνωστή, αλλά εκτός από τα μέτρα ασφάλειας των συστημάτων, θα χρειαστεί να διεκπεραιώσουν ταυτόχρονα επικοινωνία με τους χρήστες, αναφορές στις εποπτικές αρχές και την αστυνομία, αντιμετώπιση των μέσων ενημέρωσης και εξέταση των νομικών ευθυνών. Γενικά, η συμμετοχή των ακόλουθων εξωτερικών τρίτων οργανισμών και ειδικών είναι απαραίτητη:

• Μεγάλες εταιρείες λογισμικού
• Μεγάλοι ειδικοί προμηθευτές ασφάλειας
• Εξωτερικοί δικηγόροι με ειδίκευση στην κυβερνοασφάλεια

Συνοπτικά

Όπως αποκαλύφθηκε στην πρόσφατη περίπτωση διαρροής προσωπικών δεδομένων στον τομέα της εκπαίδευσης, είναι σημαντικό να υπάρχει κατάλληλη «αρχική αντίδραση» και να ακολουθούνται διαδικασίες «ειδοποίησης, αναφοράς και δημοσιοποίησης» με επίκεντρο το συντονιστικό κέντρο, καθώς και η εφαρμογή μέτρων ασφαλείας στη συνέχεια.

Ειδικά η ταχύτητα είναι κρίσιμη όχι μόνο στην αρχική αντίδραση, αλλά και στην ειδοποίηση και αναφορά προς την αστυνομία ή τις σχετικές κρατικές αρχές, στην ενημέρωση (και την απολογία) προς τον πληγέντα και στην κατάλληλη χρονική στιγμή για δημοσιοποίηση.

Ωστόσο, εάν οι διαδικασίες ή οι μέθοδοι αντιμετώπισης είναι λανθασμένες, μπορεί να υπάρξει κίνδυνος απαίτησης αποζημίωσης για τις ζημιές. Συνεπώς, συνιστούμε να μην προχωράτε με βάση τη δική σας κρίση, αλλά να συμβουλεύεστε εκ των προτέρων δικηγόρους με εμπειρία και γνώσεις στην κυβερνοασφάλεια.

Για όσους ενδιαφέρονται για τη διαχείριση κρίσεων κατά τη διάρκεια της διαρροής πληροφοριών από το malware της Capcom, έχουμε αναλύσει το θέμα αναλυτικά στο άρθρο μας, το οποίο μπορείτε να διαβάσετε παρακάτω.

https://monolith.law/corporate/capcom-information-leakage-crisis-management[ja]

Οδηγίες για τα Μέτρα από το Δικηγορικό μας Γραφείο

Το Δικηγορικό Γραφείο Monolith είναι ένα γραφείο με υψηλή εξειδίκευση στον τομέα της πληροφορικής, και ειδικότερα στο δίκαιο του διαδικτύου και της τεχνολογίας. Παρέχουμε νομική επιθεώρηση σε μια ποικιλία υποθέσεων, από εταιρείες που είναι εισηγμένες στο Tokyo Stock Exchange Prime έως εταιρείες νεοφυείς. Παρακαλούμε ανατρέξτε στο παρακάτω άρθρο.