Хакери атакували кар'єрний сервіс Оксфорда: під загрозою опинилися дані студентів і випускників

Оксфордський університет повідомив про злам платформи CareerConnect – сервісу, який використовується для пошуку вакансій, взаємодії з роботодавцями та отримання кар'єрних консультацій. Через вразливість у сторонній системі хакери змогли отримати доступ до персональної інформації користувачів. Про це пише Techradar.

Дивіться також Шахраї навчилися обманювати ChatGPT: користувачів заманюють на підроблені інтернет-магазини 

Які дані отримали зловмисники?

CareerConnect є центральним кар'єрним порталом університету. Ним користуються студенти, випускники, роботодавці та кар'єрні консультанти для пошуку роботи, розміщення вакансій і налагодження професійних контактів. Платформа створена компанією GTI на базі технології targetconnect.

Згідно з повідомленням, оприлюдненим Кар'єрною службою Оксфордського університету наприкінці минулого тижня, наприкінці травня невстановлена особа скористалася вразливістю безпеки та отримала доступ до імен, прізвищ і електронних адрес користувачів.

Для частини акаунтів компрометація могла виявитися серйознішою. Якщо користувачі не входили до системи через механізм єдиного входу Single Sign-On (SSO), зловмисники також могли викрасти їхні зашифровані паролі.

Чому студенти постраждали менше за інших?

В університеті пояснили, що більшість студентів використовують систему SSO для входу до CareerConnect. Це означає, що їхні паролі не зберігаються безпосередньо на платформі та не були скомпрометовані під час атаки.

"Студенти використовують SSO для входу в CareerConnect, тому їхні паролі не постраждали. У результаті витоку могли бути отримані лише імена та адреси електронної пошти", – зазначається в повідомленні університету.

Водночас інша категорія користувачів – випускники, наукові співробітники та роботодавці – часто використовувала локальні паролі, створені безпосередньо для CareerConnect. Саме ці облікові дані могли потрапити до рук зловмисників.

У відповідь на інцидент компанія GTI анулювала всі потенційно скомпрометовані паролі. Під час наступного входу до системи відповідним користувачам буде запропоновано створити нові облікові дані.

Які дані не були викрадені

Представники університету підкреслюють, що наразі немає ознак доступу до більш чутливої інформації.

За наявними даними, під час атаки не постраждали:

• навчальна інформація;
• завантажені користувачами файли;
• дані про зустрічі та консультації;
• фінансова інформація;
• університетські системи автентифікації студентів.

В Оксфорді окремо наголосили, що немає доказів проникнення до внутрішніх інформаційних систем університету. Інцидент обмежився сторонньою платформою, яку обслуговує GTI.

Чого тепер побоюються фахівці?

За оцінкою GTI, основною метою атаки було збирання облікових даних і контактної інформації, яку згодом можуть використовувати для фішингових кампаній.

Фактично зловмисники отримали список реальних адрес електронної пошти людей, пов'язаних з одним із найвідоміших університетів світу. Це створює додаткові ризики отримання переконливих шахрайських листів, які можуть маскуватися під повідомлення від університету, роботодавців або кар'єрних консультантів. Експерти з кібербезпеки регулярно попереджають, що подібні витоки часто стають лише першим етапом масштабніших атак. Після збору контактних даних кіберзлочинці можуть надсилати фальшиві листи із проханням оновити пароль, підтвердити акаунт або завантажити шкідливі файли.

Хто стоїть за атакою?

На момент публікації інформації особи зловмисників не встановлені. Також не розкривається кількість постраждалих користувачів.

Немає даних і про те, чи намагалися хакери вимагати викуп або шантажувати університет чи компанію-розробника. Після виявлення інциденту GTI усунула вразливість, яка стала причиною зламу. Компанія також заявила про впровадження додаткових заходів безпеки для запобігання подібним атакам у майбутньому.

Інцидент став черговим нагадуванням про те, що навіть освітні установи світового рівня залишаються привабливою ціллю для кіберзлочинців, особливо коли йдеться про сервіси, що містять великі масиви персональних даних студентів, випускників та партнерських організацій.