Ενημέρωση σχετικά με διαρροή προσωπικών δεδομένων

Ενημέρωση σχετικά με διαρροή προσωπικών δεδομένων στο σκοτεινό διαδίκτυο (Dark Web) στις 23/11/2023, ως αποτέλεσμα της κυβερνοεπίθεσης που είχε δεχτεί το Πανεπιστήμιο Αιγαίου από την ομάδα κυβερνοεγκληματιών «Lockbit» στις 2/3/2023.

Ο σκοπός της παρούσας ενημέρωσης είναι να παρουσιάσει τα δεδομένα που ενδέχεται να διέρρευσαν στο σκοτεινό διαδίκτυο και να σας υποδείξει τα μέτρα που μπορείτε να λάβετε για να προστατευτείτε από τυχόν κακόβουλες ενέργειες τρίτων, οι οποίοι δύναται να επιδιώξουν να εκμεταλλευτούν τα προσωπικά σας δεδομένα για παράνομους ή επιζήμιους σκοπούς.

Η ενημέρωση των εμπλεκομένων πραγματοποιείται αυτή τη χρονική στιγμή, διότι ο όγκος των δεδομένων που διέρρευσαν ήταν τέτοιος που η ανάλυσή τους και οι διαδικασίες που έπρεπε να προηγηθούν, σύμφωνα με τον Γενικό Κανονισμό Προστασίας Δεδομένων και την εθνική νομοθεσία, απαιτούσαν υψηλό φόρτο επεξεργασίας και αρκετό χρόνο.

Το Πανεπιστήμιο εφάρμοσε όλα τα απαραίτητα τεχνικά και οργανωτικά μέτρα για να διασφαλίσει την ελάχιστη δυνατή διαρροή, ενώ παράλληλα συνεργάστηκε άμεσα με τη Δίωξη Ηλεκτρονικού Εγκλήματος και την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, με σκοπό να συμβάλει ενεργά στη σύλληψη της ομάδας κυβερνοεγκληματιών «Lockbit».

Δεν απαιτείται καμία ενέργεια από την πλευρά μελών και των συνεργαζόμενων προσώπων του Πανεπιστημίου σε συνέχεια αυτής της ενημέρωσης.

Τι συνέβη;

Τα πληροφοριακά συστήματα του Πανεπιστημίου Αιγαίου υπέστησαν κυβερνοεπίθεση τύπου ransomware από ομάδα κυβερνοεγκληματιών με την ονομασία “Lockbit”. Κατά την κυβερνοεπίθεση, πέραν της μόλυνσης των πληροφοριακών συστημάτων με το κακόβουλο λογισμικό (ransomware), σημειώθηκε επίσης διαρροή προσωπικών δεδομένων από διακομιστές και προσωπικούς υπολογιστές χρηστών της υποδομής του Πανεπιστημίου. Τα διαρρεύσαντα αρχεία περιείχαν προσωπικά δεδομένα σε διάφορες μορφές αρχείων (doc, excel, pdf, jpeg κ.ο.κ.).

Κατηγορίες προσωπικών δεδομένων που μπορεί να διέρρευσαν

Τα προσωπικά δεδομένα που μπορεί να διέρρευσαν συνοψίζονται στις παρακάτω κατηγορίες δεδομένων:

Όνομα, Επίθετο, Ταχυδρομική Διεύθυνση, Τηλέφωνο, Διεύθυνση Ηλεκτρονικού Ταχυδρομείου (email), Ιδιότητα, Υπηκοότητα, Φύλο, Ημερομηνία Γέννησης, Υπογραφή (φυσική), IBAN, CARD, ΑΦΜ, ΑΜΚΑ, ΑΜ, ΑΔΤ, ΑΜΑ, Δεδομένα Υγείας, Στοιχεία Συγγενών, Κωδικοί Πρόσβασης, Στοιχεία Πιστωτικής/Χρεωστικής Κάρτας/Τραπεζικοί Λογαριασμοί, Φωτογραφίες.

Ενέργειες που έγιναν προς αντιμετώπισή του περιστατικού

Στο πλαίσιο της αντιμετώπισης της πρόσφατης κυβερνοεπίθεσης, οι αρμόδιες υπηρεσίες του Πανεπιστημίου έλαβαν άμεσα και αποφασιστικά μέτρα για την αντιμετώπισή της και την άμεση  αποκατάσταση των πληροφοριακών συστημάτων που επηρεάστηκαν.

Τα μέτρα αυτά περιλαμβάνουν τεχνικές παρεμβάσεις που πραγματοποιήθηκαν με σκοπό την ενίσχυση της ασφάλειας των πληροφοριακών συστημάτων του Πανεπιστημίου έναντι μελλοντικών κυβερνοαπειλών.

Επιπλέον πραγματοποιήθηκε αναπροσαρμογή υφιστάμενων διαδικασιών για την καλύτερη διαχείριση και πρόληψη αντίστοιχων περιστατικών.

Τέλος, ενισχύθηκε η συνεργασία με εξειδικευμένους εξωτερικούς φορείς και εταιρείες κυβερνοασφάλειας για την παροχή συμβουλευτικών υπηρεσιών και την ενίσχυση της προστασίας των δεδομένων.

Ποιες είναι οι ενδεχόμενες συνέπειες της διαρροής για εσάς;

Κίνδυνος Απάτης και Κακόβουλης Χρήσης: Οι διαρροές δεδομένων μπορούν να οδηγήσουν σε απάτες και κακόβουλη χρήση των προσωπικών πληροφοριών από επιτήδειους ή εγκληματίες.

Διακινδύνευση της Οικονομικής Κατάστασης: Οι διαρροές δεδομένων μπορούν να οδηγήσουν σε οικονομικές απώλειες για τα υποκείμενα των δεδομένων λόγω απάτης ή κακόβουλης χρήσης των πληροφοριών τους.

Παραβίαση της Ιδιωτικής Ζωής: Οι διαρροές δεδομένων μπορούν να οδηγήσουν σε σοβαρή παραβίαση της ιδιωτικής ζωής, καθώς προσωπικές πληροφορίες μπορεί να διαρρεύσουν σε μη εξουσιοδοτημένα άτομα ή φορείς.

Κίνδυνος Ψευδούς Ταυτοποίησης: Οι διαρροές δεδομένων μπορούν να οδηγήσουν σε πιθανή ιδιοποίηση ταυτότητας από κακόβουλους δράστες, οι οποίοι δύνανται να χρησιμοποιήσουν ευαίσθητες πληροφορίες που έχουν διαρρεύσει, όπως ΑΦΜ, ΑΔΤ και ΑΜΚΑ για την πραγματοποίηση παράνομων ενεργειών.

Ποια είναι τα μέτρα που μπορείτε να λάβετε για να προστατευτείτε

Ιδιαίτερη προσοχή σε πιθανές απάτες: Θα πρέπει να είστε προσεκτικοί σε πιθανές απάτες που μπορεί να σχετίζονται με τη χρήση των προσωπικών σας δεδομένων και να αναφέρετε άμεσα οποιαδήποτε ύποπτη δραστηριότητα.

Ιδιαίτερη προσοχή στις αιτήσεις ταυτοποίησης: Θα πρέπει να εξετάζετε προσεκτικά κάθε αίτηση ταυτοποίησης που γίνεται στο όνομά σας και να επιβεβαιώνετε την εγκυρότητά της πριν παραχωρήσετε οποιαδήποτε προσωπική πληροφορία.

Ιδιαίτερη προσοχή σε επιθέσεις κοινωνικής μηχανικής (social engineering): Μην παρέχετε προσωπικά στοιχεία μέσω τηλεφώνου ή email, ακόμα κι αν το αίτημα φαίνεται να προέρχεται από αξιόπιστους φορείς, όπως τράπεζες. Πάντα να επιβεβαιώνετε την ταυτότητα του αιτούντος φορέα μέσω των επίσημων καναλιών επικοινωνίας του. Το Πανεπιστήμιο, όπως και οι τράπεζες, δεν θα ζητήσει ποτέ το συνθηματικό πρόσβασης σε υπηρεσίες μέσω email ή τηλεφώνου.

Παρακολούθηση των λογαριασμών σας (ηλεκτρονικό ταχυδρομείο, κοινωνικά δίκτυα) για πιθανές ύποπτες προσβάσεις.

Λήψη μέτρων προστασίας από ανεπιθύμητες τηλεφωνικές κλήσεις: Σε περίπτωση που αρχίσετε να λαμβάνετε ανεπιθύμητες εμπορικές κλήσεις, εξετάστε την πιθανότητα εγγραφής σας μέσω των σχετικών νόμιμων διαδικασιών στο μητρώο του άρθρου 11 παρ. 2 Ν. 3471/2006.

Ζητούμε συγνώμη για τυχόν αναστάτωση που μπορεί να προκαλέσει η παρούσα κατάσταση. Σας ευχαριστούμε για την κατανόησή σας και τη συνεργασία σας καθ' όλη τη διάρκεια αυτής της διαδικασίας.

Με εκτίμηση,
Νικόλαος Χορταριάς
Υπεύθυνος Προστασίας Δεδομένων (DPO)