Před několika dny se Vysoká škola ekonomická stala terčem závažného kybernetického útoku. V jeho důsledku obdržela řada studentů Fakulty mezinárodních vztahů, kteří měli zapsáni předměty s identem 2SM, oznámení o odebrání z termínu zkoušky, státnic nebo o zanesení výsledné známky. Na Facebooku se mezi studenty rozšířila zpráva, že útok mohl zasáhnout i Fakultu financí a účetnictví. Tyhle obavy však zatím nebyly potvrzeny.
Rozhodnutím školy bylo omezeno přihlašování do Integrovaného studijního informačního systému (InSIS) výhradně na školní počítačovou síť. Omezení platí dle aktuálních informací do 27. prosince. Bližší informace bohužel nejsou prozatím známy. Nejednalo se o první útok, se kterým se administrátoři InSISu potýkali. Loni na jaře a na podzim se neznámý útočník snažil přes vysílání falešné sítě eduroam získat uživatelská jména a hesla studentů.
„Pokud škola dodržuje pravidla informační bezpečnosti a dělá pravidelné zálohy dat InSISu, nemusí být dopady tohoto útoku tak drtivé. Největším problémem v současné situaci je očividně fakt, že útočníkům se stále daří k InSISu přistupovat, tudíž dosud pravděpodobně nebyla odhalena zranitelnost, kterou využili,“ komentuje situaci externí konzultant informační bezpečnosti časopisu iList Ondřej Hamouz. „Za předpokladu, že byla všechna hesla resetována a útočníci jsou stále schopni přistupovat k privilegované funkcionalitě InSISu, můžeme vyloučit krádež přihlašovacích údajů,“ dodává.
Předpokládá, že zranitelnost se pravděpodobně bude nacházet na aplikační úrovni. O její záplatu by se měl postarat dodavatel systému InSIS. „Po jejím odstranění by mělo být s využitím záloh jednoduché uvést InSIS do původního stavu. V této lze také přemýšlet o znepřístupnění celého InSISu a přechodu na alternativní kanál pro komunikaci se studenty a zapisování známek,“ komentuje Hamouz. Útočníci podle něj mohli mít pravděpodobně přístup k osobním informacím studentů i vyučujících, a pokud se jim nepodařilo tato data již exportovat, tak každá hodina dostupnosti InSISu bez opravy kritické zranitelnosti jim umožňuje nasbírat víc a víc dat.
Pokud se však potřebujete před zkouškovým obdobím přihlásit do InSISu, lze tak učinit přes síť VPN (Virtual private network, pozn. red.). Podrobné informace o přihlášení do VPN sítě najdete na stránkách Oddělení sítové infrastruktury.
