Hakerzy weszli do szkół i policji. Zabrali 740 tys. rekordów

Brytyjscy nauczyciele, dyrektorzy szkół, urzędnicy i policjanci znaleźli się na jednej liście ofiar. Nowa grupa hakerska twierdzi, że wykradła ponad 740 tys. rekordów z systemów edukacji i policyjnej bazy prawnej. Teraz chce pieniędzy, a na zachętę pokazała próbki danych.

Większa część wycieku pochodzi z dwóch portali brytyjskiego Departamentu Edukacji. Pierwszy to system obsługi zgłoszeń, z którego korzystają m.in. szkoły, samorządy, rodzice, uczelnie oraz pracownicy administracji. Drugi obsługuje program wyjazdów zagranicznych dla studentów.

Cyberprzestępcy mieli pobrać z nich około 607 tys. wierszy danych. W plikach znalazły się imiona i nazwiska, służbowe adresy e-mail, numery telefonów, nazwy instytucji oraz zajmowane stanowiska. Wśród osób widocznych w bazie są dyrektorzy szkół, pracownicy uczelni, urzędnicy i rodzice, którzy wcześniej kontaktowali się z departamentem.

Nie oznacza to, że hakerzy ukradli dane 607 tys. różnych osób. Jedna osoba mogła pojawić się w systemie wielokrotnie, np. przy kilku zgłoszeniach. Brytyjskie władze podkreślają więc, że podawana liczba opisuje rekordy, a nie liczbę poszkodowanych. Nie ma również informacji, by przestępcy weszli do dzienników elektronicznych, baz ocen albo dokumentacji uczniów przechowywanej przez szkoły. Zaatakowali centralne portale obsługi administracyjnej.

Drugi atak dotknął Police National Legal Database. To baza wykorzystywana przez policję w Anglii i Walii do wyszukiwania informacji prawnych oraz uzyskiwania pomocy przy stosowaniu przepisów.

Hakerzy twierdzą, że wyciągnęli z niej około 135 tys. rekordów. Dane obejmują nazwiska funkcjonariuszy i pracowników wymiaru sprawiedliwości, ich służbowe adresy e-mail oraz informacje o jednostkach i organizacjach, w których pracują.

Wyciekły również dane części osób, które wysyłały pytania przez publiczny serwis Ask the Police. Baza nie zawierała natomiast akt prowadzonych spraw ani poufnych informacji o podejrzanych, ofiarach i świadkach. Nie należy jej mylić z najważniejszymi policyjnymi systemami operacyjnymi, w których przechowywane są informacje o przestępstwach, osobach poszukiwanych czy materiałach dowodowych.

Niepokojący jest jednak inny element. Według informacji przekazanych po incydencie hakerzy zdobyli także hasła używane do logowania do policyjnego portalu. Nie wiadomo jeszcze, w jakiej formie były przechowywane i czy możliwe jest ich bezpośrednie użycie.

Nawet stare hasło może jednak otworzyć kolejne drzwi. Jak pisaliśmy w tekście: Hakerzy nie musieli łamać zabezpieczeń. Wystarczyły stare… hasła, przestępcy regularnie sprawdzają przejęte kombinacje loginów i haseł w innych usługach. Jeżeli funkcjonariusz wykorzystał ten sam kod w kilku systemach, pojedynczy wyciek może stać się początkiem znacznie poważniejszego ataku.

Do włamań przyznała się wcześniej nieznana grupa ExfilSquad. Przestępcy opublikowali w darknecie próbki plików i przedstawili listę kilkunastu domniemanych ofiar. Firma zajmująca się cyberbezpieczeństwem oceniła, że pokazane fragmenty wyglądają na prawdziwe. Nie ma jednak dowodów, że hakerzy zaszyfrowali systemy lub zablokowali instytucjom dostęp do dokumentów. To model oparty wyłącznie na kradzieży informacji. Przestępcy kopiują dane, a następnie żądają zapłaty za ich niepublikowanie.

W wiadomości skierowanej do ofiar przekonują, że okup będzie mniejszym wydatkiem, niż procesy sądowe i kary, które mogą pojawić się po ujawnieniu całego zbioru. Kwoty nie podano. Brytyjskie instytucje publiczne zgodnie z przyjętą polityką nie powinny płacić cyberprzestępcom.

Departament Edukacji wyłączył zaatakowane portale i zastąpił je tymczasowo obsługą telefoniczną. Incydent badają krajowe służby zajmujące się cyberbezpieczeństwem i przestępczością, a sprawa została zgłoszona organowi ochrony danych.

Brytyjskie władze oceniają, że ryzyko dla poszkodowanych jest niewielkie, ponieważ większość przejętych informacji to przede wszystkim dane kontaktowe. Nie wyciekły numery kart, dokumentów tożsamości ani kompletne akta uczniów czy spraw policyjnych. Taka ocena może być oczywiście technicznie poprawna, ale adres e-mail połączony z nazwiskiem, telefonem, stanowiskiem i nazwą konkretnej jednostki daje oszustowi świetny punkt wyjścia.

Dyrektor szkoły może dostać wiadomość wyglądającą jak pilne polecenie departamentu. Nauczyciel prośbę o zalogowanie się do nowego panelu. Policjant fałszywy dokument przesłany rzekomo przez inną jednostkę. Rodzic informację o konieczności uzupełnienia danych dziecka. W każdym przypadku nadawca może posługiwać się prawdziwymi szczegółami. Wie, do kogo pisze, gdzie ta osoba pracuje i jaką pełni funkcję. Taki ukierunkowany phishing jest znacznie trudniejszy do rozpoznania niż przypadkowy SMS o niedopłacie za paczkę.

Podobny mechanizm widzieliśmy już w Polsce. Jak opisywaliśmy w tekście: Przez włam do e-dzienników kradną rodzicom kasę. Tu nie chodzi o oceny, przestępcy przejmowali konta nauczycieli i wysyłali z nich do rodziców prośby o pieniądze. Wiadomość była skuteczna właśnie dlatego, że przychodziła z prawdziwego szkolnego profilu.

Na razie nie wiadomo, w jaki sposób ExfilSquad dostał się do obu systemów ani czy ataki były ze sobą bezpośrednio połączone. Nie ma też pewności, czy pokazane liczby odpowiadają ostatecznej skali wycieku. Pochodzą głównie od samych przestępców, choć instytucje potwierdziły naruszenia, a próbki danych zostały wstępnie zweryfikowane.

Przeczytaj także:

Sam plik z nazwiskami raczej nie sparaliżuje brytyjskiej policji ani edukacji. Może jednak posłużyć do znalezienia osoby, która kliknie w odpowiedni link, poda aktualne hasło albo otworzy załącznik wewnątrz znacznie ważniejszej sieci.

*Źródło grafiki wprowadzającej: Digital Buggu, Pexels / Jirsak, Getty Images, Canva Pro