Cyberprzestępcy coraz częściej atakują szkoły. Tylko w tym roku odnotowano 454 ataki na podmioty z sektora oświaty i wychowania. To o 28 proc. więcej w porównaniu do całego 2023 r. Eksperci wskazują, że placówki edukacyjne zazwyczaj dysponują ograniczonymi funduszami na zapewnienie odpowiedniego poziomu cyberbezpieczeństwa. Do tego dochodzi niska świadomość dotycząca zagrożeń cyfrowych.
Liczba cyberataków rośnie z roku na rok. I to zauważalnie.
W tym roku, licząc do 8 sierpnia, CSIRT NASK, który odpowiada za cyberbezpieczeństwo w polskich szkołach, odnotował 454 cyberataków w sektorze oświaty i wychowania. W całym 2023 r. było ich 354, w 2022 r. – 167. Mowa o zdarzeniach, które mają lub mogą mieć niekorzystny wpływ na cyberbezpieczeństwo.
– Wiadomości były rozsyłane masowo i trafiały do wielu adresatów, także do szkół. Jedynie pojedyncze przypadki dotyczyły spear phishingów, czyli oszustw lepiej przygotowanych, w których następowało podszycie pod dyrektora danej placówki, a celem było wyłudzenie przelewów. Znalezienie informacji o kierujących placówkami i osobach odpowiedzialnych za kwestie finansowe nie stanowi trudności właśnie dlatego, że w sektorze publicznym tego rodzaju informacje są ogólnodostępne, a skorzystać z nich mogą także przestępcy – mówi Iwona Prószyńska, ekspertka NASK ds. komunikacji w obszarze cyberbezpieczeństwa.
– Po drugie – liczba zgłoszeń rośnie także dlatego, że obserwujemy zdecydowanie większą świadomością dotyczącą cyberzagrożeń i faktu, że należy takie incydenty zgłaszać do zespołu CERT Polska – dodaje.
Dominuje phishing
Jak przekazała nam Monika Dębkowska z Biura Komunikacji Ministerstwa Cyfryzacji, najczęściej zgłaszane incydenty dotyczą phishingu.
Phishing to jeden z najpopularniejszych typów ataków opartych o wiadomości e-mail lub SMS. Wykorzystuje inżynierię społeczną, czyli technikę polegającą na tym, że przestępcy internetowi próbują nas oszukać i spowodować, żebyśmy podjęli działanie zgodnie z ich zamierzeniami.
Cyberprzestępcy podszywaj się m.in. pod firmy kurierskie, urzędy administracji, operatorów telekomunikacyjnych, czy nawet naszych znajomych. Starają się wyłudzić dane do logowania np. do kont bankowych lub używanych przez nas kont społecznościowych, czy systemów biznesowych.
Dlaczego szkoły są łatwym celem?
– Sektor edukacji od lat stanowi atrakcyjny cel dla cyberprzestępców. Szkoły coraz częściej padają ofiarą ich ataków z kilku powodów. Przede wszystkim, placówki edukacyjne zazwyczaj dysponują ograniczonymi funduszami na zapewnienie odpowiedniego poziomu cyberbezpieczeństwa. Równocześnie świadomość zagrożeń cyfrowych wciąż jest niska, co czyni ataki socjotechniczne, takie jak phishing, skutecznymi narzędziami w rękach przestępców – mówi 300Gospodarce Maciej Góra z Instytutu Kościuszki.
Piotr Piętka, specjalista ds. cyberbezpieczeństwa z firmy ComCERT z Grupy Asseco podkreśla natomiast, że pandemia COVID-19 sprawiła, że cyfryzacja szkół bardzo przyspieszyła. Nowa rzeczywistość wymagała przeniesienia lekcji do środowiska cyfrowego i szybkiego wdrożenia platform do współpracy. Jednocześnie nie zawsze znalazł się czas na odpowiednie przeszkolenie pracowników szkół, którzy niekiedy mieli problemy z przeprowadzeniem zajęć. Nie mówiąc już o zapewnieniu właściwego poziomu cyberbezpieczeństwa.
W miarę jak szkoły stają się coraz bardziej zdigitalizowane, uzyskanie dostępu do ich systemów daje hakerom możliwość przejęcia dużej ilości wrażliwych danych osobowych, takich jak numery PESEL, adresy zamieszkania, informacje o stanie zdrowia czy dane finansowe. Dane te mogą następnie zostać sprzedane na czarnym rynku i wykorzystane do oszustw związanych z kradzieżą tożsamości, na przykład do wyłudzania kredytów bądź kradzieży metodą „na BLIK”.
– Aby uchronić się przed atakami phishingowymi, należy zachować szczególną ostrożność przy odbieraniu jakichkolwiek wiadomości drogą cyfrową. Nie wolno klikać na linki w nieznanych wiadomościach, a nadawcę warto zweryfikować, kontaktując się bezpośrednio z daną firmą lub instytucją oraz dokładnie sprawdzając adres nadawcy i URL. Poufne dane, takie jak hasła czy numery kart kredytowych, nie powinny być udostępniane na niesprawdzonych stronach ani w wiadomościach – radzi Maciej Góra.
Jak dodaje, kluczowe jest regularne aktualizowanie oprogramowania na urządzeniach oraz blokowanie możliwości instalacji aplikacji spoza oficjalnych sklepów. Dobrze jest też włączyć uwierzytelnianie dwuskładnikowe 2FA. Po jego włączeniu jesteśmy proszeni o podanie „drugiego składnika”, do którego dostęp mamy tylko my. Drugim składnikiem może być kod wysyłany do nas SMS-em lub utworzony przez aplikację zainstalowaną na naszym urządzeniu mobilnym. Specjalista radzi również, żeby ostrzegać innych o podejrzanych wiadomościach oraz zgłaszać incydenty do CERT Polska.
Polecamy również: Sprawdź, czy ktoś nie zhakował twojej pralki. Cyberbezpieczeństwo dotyczy też odbiorców energii
Dane osobowe nauczycieli czy uczniów to łakomy kąsek, ale cyberprzestępcy atakują szkoły również z innego powodu.
– Uniemożliwienie funkcjonowania placówki oświatowej, np. poprzez zaszyfrowanie danych, jest wyjątkowo kłopotliwe i może odbić się szerokim echem. To sprawia, że w oczach cyberprzestępców szansa na zapłacenie przez organizację okupu wzrasta – zwraca uwagę Piotr Piętka.
Zdaniem eksperta cyberbezpieczeństwo wymaga regularnych działań. Zarówno na poziomie infrastruktury, jej aktualizacji, wymiany starych komponentów, audytów bezpieczeństwa, wdrożenia systemów detekcji włamań, jak i edukacji.
– Cyberzagrożenia ciągle ewoluują, powstają nowe, do tej pory nieznane. Trzeba wciąż poszerzać swoją wiedzę i uczyć się jak na nie reagować. Ważne są również działania zapobiegawcze, takie jak cykliczne tworzenie kopii zapasowych, które można wykorzystać do przywrócenia działania systemów, gdy nastąpi atak lub awaria – podkreśla Piotr Piętka.
Sektory z największą liczbą zgłoszeń
Jednocześnie, jak wynika z danych CSIRT NASK, na edukację przypada mniej niż 1 proc. zgłaszanych incydentów. Podobnie jak na ochronę zdrowia czy transport. Najwięcej, bo po blisko 24 proc., wszystkich incydentów w 2023 r. dotyczyło takich sektorów jak handel hurtowy i detaliczny oraz infrastruktura rynków finansowych.
– W wielu firmach brakuje wykwalifikowanych specjalistów IT, a kadra odpowiedzialna za systemy pracuje pod presją – cyberatak może się zdążyć w każdej chwili. Odpowiedzialność za cyberataki jest więc często rozkładana na wszystkich pracowników, zwłaszcza tych, którzy padli ofiarą oszustów. W efekcie nawet połowa pracowników obawia się zgłaszać swoim przełożonym błędy związane z bezpieczeństwem. Poza edukowaniem kadry i zapewnieniem regularnych szkoleń z zakresu cyberzagrożeń potrzebne jest również zapewnienie im pomocy, gdy napotykają na jakieś problemy, wątpliwości czy otrzymają podejrzaną wiadomość – podsumowuje Leszek Tasiemski, ekspert ds. cyberbezpieczeństwa i VP z firmy WithSecure.
To też może Cię zainteresować:
- Rewolucja w szkołach. Rozporządzenie znoszące prace domowe zostało podpisane
- Zakaz używania telefonów w szkołach. Wielka Brytania idzie za przykładem państw Zachodu
- Szkoła w naturze, bez ławek, bez murów. W Nowej Zelandii jest ich coraz więcej
- Nie tylko prace domowe i podwyżki płac. Polska szkoła potrzebuje znacznie głębszych zmian [WYWIAD]