Jedno sveučilište u Irskoj svjedočilo je slučaju iz naslova.
Nepoznata osoba preuzela je nad email računima šest zaposlenika sveučilišta i promijenila je postavke email računa promjenama u tzv „rules“ u Microsoft Outlooku kako bi sakrila određene poruke od stvarnih vlasnika računa kojima bi oni javljali o sumnjama na nezakonite radnje, odnosno, kompromitiranje email računa i mogući cyber napad.
Ujedno je cyber kriminalac ima pristup i samoj komunikaciji putem emailova, među kojima su bili i emailovi vezani za isplatu značajnog iznosa novaca od strane sveučilišta na određeni bankovni račun, pri čemu je cyber kriminalac izmijenio podatke o računu na koji treba uplatiti iznos i sveučilište je izvršilo uplatu na njegov račun.
Pogrešno izvršenu uplatu je uočio jedan od zaposlenika sveučilišta i prijavio je unutar sveučilišta, ali su uslijed ručno postavljenih „rules“ njegovi mailovi s prijavama nepravilnosti i otkrića cyber napada ostali nevidljivi onima koji bi na njih u normalnim okolnostima reagirali, prvenstveno adminima na IT sustavima.
Naravno, nadzorno tijelo za zaštitu osobnih podataka je sve detaljno istražilo i zaključilo da je sveučilište propustilo implementirati primjerene sigurnosne mjere. Iako su postojale određene sigurnosne protokole, kao što su upravljanje lozinkama i enkripcija, bile su nedovoljne.
Prije svega su uočili nedostatak multifaktorske autentifikacije, neadekvatne konfiguracije email računa i nedovoljnu educiranost zaposlenika o mjerama zaštite podataka.
Više o slučaju u rješenju irskog nadzornog tijela:
Image from Freepik
#gdprcroatia
