Mount Royal University ransomware-angreb rammer data fra studerende og ansatte
Et ransomware-angreb på Mount Royal University (MRU) i Calgary har kompromitteret personlige data tilhørende både studerende og ansatte, hvilket rejser presserende spørgsmål om, hvordan videregående uddannelsesinstitutioner håndterer offentliggørelse af brud, og hvilken beskyttelse de skylder de mest berørte personer. Universitetet har bekræftet, at virksomhedsdata blev stjålet under angrebet, men dets beslutning om kun at tilbyde kreditovervågning til ansatte – ikke til studerende – har mødt kritik og fået mange til at spekulere på, om deres oplysninger virkelig er sikre.
Denne hændelse er ikke et isoleret tilfælde. Mønsteret med ransomware-angreb og databrud på universiteter er blevet en af de mest vedvarende cybersikkerhedshistorier i de senere år, hvor videregående uddannelsesinstitutioner står over for et ubarmhjertigt pres fra kriminelle grupper, der ser campusser som værdifulde og ofte dårligt forsvarede mål.
Hvorfor universiteter er værdifulde mål for ransomware
Universiteter befinder sig i et usædvanligt krydsfelt: de opbevarer store mængder følsomme personlige, økonomiske og forskningsmæssige data, men de opererer i åbne, samarbejdsorienterede netværksmiljøer, der prioriterer adgang frem for restriktioner. Et hospital eller en bank kan retfærdiggøre strenge adgangskontroller; et universitetscampus forventes at være åbent efter hensigten.
Denne åbenhed skaber strukturelle sårbarheder. Studerende, fakultetsansatte, eksterne samarbejdspartnere og gæsteforskere kobler sig alle på de samme netværk, ofte med personlige enheder og inkonsekvente sikkerhedskonfigurationer. IT-teams på de fleste videregående uddannelsesinstitutioner er tyndt bemandede i forhold til den infrastruktur, de administrerer. Og fordi universiteter ofte rummer intellektuel ejendom sammen med personoplysninger, kan ransomware-grupper true med at frigive begge datakategorier og dermed maksimere deres afpresningspotentiale.
Den økonomiske kalkulation for angriberne er ligetil. Universiteterne lukker næppe helt ned, hvilket betyder, at de er under stærkt pres for at betale eller forhandle. Og i modsætning til private virksomheder har de ofte offentligt synlige ledelsesstrukturer, indskrivningstal og finansieringskilder, som hjælper angriberne med at vurdere, hvor meget pres de kan lægge.
Hvilke data blev kompromitteret ved Mount Royal University
MRU har bekræftet, at virksomhedsdata om universitetet blev stjålet under angrebet, sammen med personlige oplysninger tilhørende studerende og ansatte. Universitetet har advaret om, at en fuldstændig analyse af præcis, hvad der blev tilgået, kan tage flere uger eller måneder – en velkendt, men frustrerende realitet efter ransomware-hændelser. Retsmedicinsk efterforskning er langsommelig, og angriberne efterlader ikke altid tydelige spor af, hvad de har eksfiltreret.
Det, der allerede står klart, er, at ansattes data blev behandlet anderledes end de studerendes data i MRU's håndtering. Universitetet tilbyder kreditovervågning til ansatte, men ikke til studerende, med den begrundelse, at de studerendes oplysninger ikke bærer den samme økonomiske risikoprofil. Denne skelnen bør undersøges nøje.
Hvorfor MRU's beslutning om at nægte studerende kreditovervågning vækker bekymring
MRU's argument om, at studerendes data udgør en lavere risiko end ansattes data, bygger på en antagelse om, at den primære trussel fra et databrud er direkte økonomisk svindel – den type, som kreditovervågning er designet til at opfange. Men studerendes registreringer indeholder typisk navne, fødselsdatoer, studienumre, kontaktoplysninger og i mange tilfælde immigrationsstatus, indskrivningshistorik og betalingsoplysninger. Det er et værdifuldt datasæt til identitetstyveri, selvom den umiddelbare svindelrisiko ser anderledes ud end ved stjålne lønoplysninger.
Kreditovervågning er ganske vist ikke et perfekt værktøj, og dens værdi varierer afhængigt af, hvilke data der rent faktisk blev stjålet. Men beslutningen om at udelukke studerende fra denne beskyttelse, uden at have afsluttet en fuld retsmedicinsk gennemgang af, hvad der blev kompromitteret, er en markant prioritering. Studerende er ofte yngre, har måske en tyndere kredithistorik og kan være mindre erfarne i at genkende advarselstegn på misbrug af identitet. De har også færre institutionelle ressourcer til at reagere, hvis noget går galt måneder senere.
Universiteter har en omsorgspligt over for de mennesker, der betror dem deres personlige oplysninger. Denne pligt mindskes ikke, fordi den berørte part er indskrevet frem for ansat.
Skridt studerende og ansatte kan tage for at beskytte sig selv nu
Uanset om MRU udvider den formelle beskyttelse til studerende, bør de berørte parter straks tage deres egne forholdsregler. At vente på, at institutionen afslutter sin analyse – hvilket kan tage måneder – er ikke en holdbar beskyttelsesstrategi.
Gennemgå dine konti for usædvanlig aktivitet. Tjek bankkonti, kreditkort og eventuelle økonomiske konti, der er knyttet til din studie- eller medarbejder-e-mailadresse. Opsæt transaktionsalarmer, hvis din bank tilbyder det.
Skift adgangskoder forbundet med dine universitetskonti. Hvis du genbruger adgangskoder på tværs af tjenester, så skift dem også der. Brug en adgangskodeadministrator til at generere og gemme unikke legitimationsoplysninger til hver konto.
Vær opmærksom på phishing-forsøg. Ransomware-grupper sælger eller bruger ofte stjålne data til at lave målrettede phishing-e-mails. Vær skeptisk over for enhver kommunikation, der beder dig om at klikke på et link eller bekræfte personlige oplysninger, selvom den ser ud til at komme fra en troværdig kilde.
Overvej at fryse din kredit. I Canada kan du anmode om en kreditfrysning eller svindelalarm via Equifax og TransUnion. I modsætning til kreditovervågning forhindrer en frysning aktivt, at der åbnes ny kredit i dit navn uden din udtrykkelige tilladelse.
Brug en VPN på campus og offentlige netværk. Campus Wi-Fi-miljøer kan overvåges eller kompromitteres. Ved at bruge en pålidelig VPN, når du tilgår følsomme konti på universitetsnetværk, tilføjes et lag kryptering, der gør det sværere for nogen på samme netværk at opsnappe din trafik. Dette er en praktisk vane for enhver studerende eller medarbejder, uanset et specifikt brud.
Overvåg dine oplysninger over tid. Stjålne data bruges ofte ikke med det samme. Sæt en påmindelse om at gennemgå din kreditrapport hver par måned det næste år, og vær opmærksom på uventede kontoåbninger eller ændringer.
Hvad dette betyder for dig
Ransomware-angrebet og databruddet på Mount Royal University er en påmindelse om, at cybersikkerhedshændelser på institutioner har reelle, personlige konsekvenser for de personer, der ikke havde noget andet valg end at afgive deres oplysninger for at blive indskrevet eller ansat der. Den retsmedicinske undersøgelse er i gang, og det fulde billede af, hvad der blev kompromitteret, bliver muligvis ikke klart i flere måneder.
Hvis du er studerende eller ansat ved MRU, så tag handling ud fra ovenstående trin nu, i stedet for at vente på, at universitetet afslutter sin gennemgang. Og hvis du er studerende eller medarbejder ved en hvilken som helst videregående uddannelsesinstitution, bør denne hændelse få dig til at undersøge dine egne digitale vaner. Campusnetværk er fælles miljøer, og din personlige sikkerhedsposition er uafhængig af, hvad din institution gør eller ikke gør. At gennemgå, hvordan du bruger disse netværk, herunder om en VPN hører hjemme i din værktøjskasse, er et praktisk skridt, der koster lidt og kan gøre en mærkbar forskel.
