Keď sa „len meno a e-mail“ stane oveľa viac

Úvod

Nešlo o heslá ani finančné údaje. Iba mená, e-mailové adresy, školy a používateľské roly. Na prvý pohľad to neznie ako katastrofický únik dát. Z pohľadu sociálneho inžinierstva je však takýto dataset oveľa hodnotnejší, než si mnohí ľudia uvedomujú.

Vyšetrovanie

Incident sa začal príspevkom na fóre DarkForums, kde bola ponúkaná databáza s názvom „Croatian Students Database“, údajne obsahujúca 954 000 záznamov.

Po odstránení duplicitných e-mailových adries sa ukázalo, že dataset obsahuje 563 509 unikátnych záznamov z 1 452 chorvátskych vzdelávacích inštitúcií. Novinári overili, že uniknuté informácie sú autentické. Obsahovali mená používateľov, oficiálne e-mailové adresy @skole.hr, názvy škôl a roly, teda študent alebo učiteľ.

Absencia údajov o najmladších žiakoch základných škôl naznačuje buď to, že únik pochádzal z prepojenej aplikácie, v ktorej sa školské účty aktivujú až vo vyšších ročníkoch, alebo zo staršej systémovej zálohy.

CARNET v reakcii potvrdil, že vedie technické a forenzné vyšetrovanie s cieľom určiť autenticitu, rozsah a pôvod úniku. Zároveň uviedol, že v súčasnosti neexistuje dôkaz o kompromitácii používateľských účtov ani o potrebe meniť heslá.

Chorvátske ministerstvo vedy a vzdelávania medzitým úzko spolupracuje s CARNETom a Chorvátska agentúra pre ochranu osobných údajov (AZOP) začala urgentné vyšetrovanie, ktoré má posúdiť, či boli splnené povinnosti podľa GDPR a či k incidentu nemohli prispieť aplikácie tretích strán.

Oficiálne vyšetrovania stále prebiehajú.

Sociálne inžinierstvo nezačína heslami

Väčšina ľudí si kyberkriminalitu spája s ukradnutými prihlasovacími údajmi. Útočníci však často premýšľajú inak.

Ich prvým cieľom je kontext: kto daný človek je, kde pôsobí, s kým komunikuje a komu bude pravdepodobne dôverovať.

Dataset obsahujúci skutočné mená, overené školské e-mailové adresy a inštitucionálne zaradenie okamžite odpovedá na niekoľko z týchto otázok.

AI mení ekonomiku phishingu. Dokáže obohatiť uniknuté e-mailové adresy o verejne dostupné informácie zo sociálnych sietí, školských webov a ďalších zdrojov. Veľké jazykové modely následne v priebehu sekúnd vytvoria veľmi presvedčivé spear-phishingové e-maily.

Školy si zaslúžia osobitnú pozornosť, pretože vzdelávacie inštitúcie fungujú na dôvere. Študenti očakávajú e-maily od učiteľov. Učitelia očakávajú požiadavky od administrátorov. Rodičia očakávajú komunikáciu zo školy.

Útočníkovi stačí túto komunikáciu presvedčivo napodobniť.

AI znižuje bariéry útoku

Klonovanie hlasu, deepfaky a automatizovaný OSINT znižujú čas a úsilie potrebné na prípravu cieleného útoku.

Žiadna z týchto technológií nepotrebuje ukradnuté heslá. Potrebuje dôveru.

Nebezpečenstvo nespočíva v jednom úniku. Skutočné riziko vzniká pri kombinovaní viacerých datasetov. Školský e-mail z jedného úniku, telefónne číslo z iného, verejné informácie z LinkedInu a aktivita na sociálnych sieťach spolu dokážu vytvoriť mimoriadne detailný profil človeka.

AI je veľmi dobrá v spájaní týchto bodov.

Čo by mali robiť používatelia?

Nepanikáriť, ale incident neignorovať.

K nečakaným e-mailom pristupujte opatrne, aj keď obsahujú presné osobné údaje. Platí známe pravidlo „premýšľaj, kým klikneš“.

Neobvyklé požiadavky si overujte cez iný komunikačný kanál a pamätajte na to, že osobné údaje sa často používajú na vytvorenie dôvery ešte pred samotným útokom.

Forenzní vyšetrovatelia určia, čo sa stalo. Z pohľadu obrancov je však rovnako dôležitá ešte jedna otázka: ako budú tieto informácie použité o mesiace alebo roky?

Úniky dát zriedka spôsobia okamžitú škodu. Vytvárajú príležitosti. A AI tieto príležitosti čoraz viac zosilňuje.

Referencie

• Oficiálne vyjadrenie CARNET
• Cyber.hr, CARNET i najveće curenje podataka u hrvatskom školstvu
• HRT, pokrytie incidentu chorvátskou verejnoprávnou televíziou
• AI voice cloning scams on the rise