Προθεσμία έξι μηνών στο Ελληνικό Ανοικτό Πανεπιστήμιο (ΕΑΠ) να λάβει μέτρα θωράκισης απέναντι σε κυβερνοεπιθέσεις δίνει η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.
Αφορμή αποτέλεσε η διαρροή προσωπικών δεδομένων περίπου 30 χιλιάδων προσώπων (φοιτητές, απόφοιτοι, καθηγητές, διοικητικό προσωπικό και προμηθευτές του ΕΑΠ), η οποία έγινε γνωστή στο ευρύ κοινό τον Μάρτιο του 2025 μέσω ανακοίνωσης που εξέδωσε το ίδιο το πανεπιστημιακό ίδρυμα, ενώ ήδη είχε ενημερώσει την ανεξάρτητη Αρχή. Σύμφωνα με το ΕΑΠ, διαπιστώθηκε η διαρροή αρχείου μεγέθους 813GB, το οποίο έχει αναρτηθεί σε πλατφόρμα του dark web, μετά από κακόβουλη εξωτερική ενέργεια ransomware στα πληροφοριακά του συστήματα από την ομάδα κυβερνοεκβιασμού RansomHub.
Η υπόθεση εξετάστηκε από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, με τα μέλη της να μην επιβάλουν κυρώσεις, όπως πρόστιμα κ.λπ., αλλά να δίνουν εντολή στο ΕΑΠ να υλοποιήσει στοχευμένες δράσεις εκπαίδευσης διαχειριστών και να ολοκληρώσει τα προγραμματισμένα μέτρα ενίσχυσης της ασφάλειας των πληροφοριακών συστημάτων.
Τo σκεπτικό
Η ανεξάρτητη Αρχή, με την απόφαση υπ’ αριθμ. 14/2026, έκρινε ότι το ΕΑΠ συμμορφώθηκε με τις υποχρεώσεις γνωστοποίησης και ενημέρωσης των προσώπων των οποίων τα προσωπικά στοιχεία διέρρευσαν, καθώς και ότι έλαβε εκτεταμένα διορθωτικά μέτρα μετά το περιστατικό. Ωστόσο, διαπιστώθηκε ότι η επιτυχία της κυβερνοεπίθεσης συνδέεται με ελλείψεις ως προς την εκπαίδευση χρηστών με αυξημένα δικαιώματα και την αρχιτεκτονική απομόνωσης του εσωτερικού δικτύου.
«Η διανομή του κακόβουλου λογισμικού έγινε δυνατή εξαιτίας ενός ανθρώπινου λάθους, το οποίο θα μπορούσε να αποφευχθεί μέσω ακόμη πιο στοχευμένης εκπαίδευσης, αλλά και βελτίωσης των μέτρων αυθεντικοποίησης για τους χρήστες με δικαιώματα διαχείρισης των συστημάτων», σημειώνει στο σκεπτικό της η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Επιπλέον, διαπίστωσε πως «το γεγονός ότι το κακόβουλο λογισμικό είχε τη δυνατότητα να σκανάρει το δίκτυο και να εκμεταλλευτεί κενά ασφαλείας, υποδηλώνει ότι, παρά την εφαρμογή ισχυρών πρακτικών ασφάλειας, η διαμόρφωση του εσωτερικού δικτύου δεν λειτούργησε αποτελεσματικά, ώστε να αποτρέψει τον συγκεκριμένο τρόπο παρείσφρησης και διάδοσης».
Σε έγγραφο προς την ανεξάρτητη Αρχή, το ΕΑΠ εξηγεί πως πριν από την κυβερνοεπίθεση είχε προχωρήσει στην απόκτηση εξειδικευμένων λογισμικών ασφάλειας πληροφοριών, τα οποία αναγνωρίζονταν ως κορυφαία εργαλεία στον τομέα για τον οποίο προμηθεύτηκαν. Παράλληλα, είχε προχωρήσει σε συνεχή ενημέρωση των χρηστών για την ορθή χρήση των πληροφοριακών συστημάτων και των κινδύνων του διαδικτύου. Επιπλέον, το ΕΑΠ υποστηρίζει ότι, αν και συχνά δέχεται τέτοιου είδους επιθέσεις και τις αντιμετωπίζει με επιτυχία, εν προκειμένω δεν ήταν εφικτή η πλήρης αποτροπή όλου του εύρους της κυβερνοεπίθεσης και των συνεπειών της, «καθώς χρησιμοποιήθηκαν τεχνικές επίθεσης που έχουν σαν στόχο την παραπλάνηση των τελικών χρηστών, με σκοπό τη μη εξουσιοδοτημένη πρόσβαση σε εσωτερικά συστήματα».
Η Ανεξάρτητη Αρχή λαμβάνοντας υπόψιν τα πραγματικά περιστατικά και τις ενέργειες στις οποίες προέβη το ανώτατο εκπαιδευτικό ίδρυμα μετά την επίθεση των χάκερ, κατέληξε πως «ο χειρισμός του περιστατικού κρίνεται ως επαρκής, λαμβάνοντας υπόψη τις ενέργειες στις οποίες προέβη το ΕΑΠ, τόσο για την ανάκτηση των κρυπτογραφημένων δεδομένων, έστω κι αν αυτή δεν ήταν επιτυχής, για την αποκατάσταση της λειτουργίας των συστημάτων του όσο και για τη λήψη κατάλληλων μέτρων για να αποτραπεί αντίστοιχη επιτυχής εγκατάσταση κακόβουλου λογισμικού στο μέλλον».
Δηλαδή, όπως σημειώνεται στην απόφαση, το ΕΑΠ, μετά το συμβάν προχώρησε σε όλες τις δυνατές διορθωτικές ενέργειες τόσο ως προς τα μέτρα ασφαλείας, για την αποτροπή μελλοντικής κυβερνοεπίθεσης, όσο και ως προς τον μετριασμό της τυχόν ζημιάς στα θύματα της κυβερνοεπίθεσης. «Για τους λόγους αυτούς», καταλήγει η απόφαση, «η Αρχή, με βάση το άρθρο 58 παρ. 2 εδ. δ’ του ΓΚΠΔ, δίνει εντολή στο Ελληνικό Ανοικτό Πανεπιστήμιο να προβεί σε στοχευμένες δράσεις εκπαίδευσης των διαχειριστών, καθώς και στην πλήρη υλοποίηση του συνόλου των μέτρων (…) τα οποία έχει ήδη προγραμματίσει, εντός αποκλειστικής προθεσμίας έξι μηνών και να ενημερώσει σχετικά την Αρχή προσκομίζοντας την κατάλληλη τεκμηρίωση».