LMU i GUTcert po cyberatakach

Dwa incydenty, jeden problem: wyciek danych

W ostatnich dniach ujawniono dwa osobne incydenty bezpieczeństwa, które pokazują, jak różne organizacje nadal pozostają podatne na ataki wymierzone w systemy zawierające wrażliwe dane. Tym razem chodzi o Ludwig-Maximilians-Universität München (LMU) oraz niemiecką firmę GUTcert, specjalizującą się w certyfikacji i audytach.

W obu przypadkach doszło do nieuprawnionego dostępu do systemów, a w konsekwencji także do utraty danych. Skala i charakter informacji są jednak różne.

LMU: dostęp do danych studentów

Na uniwersytecie w Monachium osoba nieuprawniona uzyskała dostęp do systemu, w którym przechowywano dane związane z immatrykulacją. Uczelnia poinformowała, że mogły zostać odczytane między innymi:

• dane identyfikacyjne, takie jak imię i nazwisko, data urodzenia i płeć,
• dane kontaktowe, w tym adresy zamieszkania i e-mail,
• dane bankowe, na przykład numer IBAN,
• numer ubezpieczenia zdrowotnego,
• numery związane z BAföG,
• informacje o przebiegu studiów oraz wcześniejszych szkołach i uczelniach,
• w niektórych przypadkach także dane mogące podlegać szczególnej ochronie w rozumieniu RODO, jeśli były związane z przerwami w studiach.

Uczelnia zaznaczyła jednocześnie, że nie naruszono danych dotyczących egzaminów, treści studiów ani indywidualnych wyników. Nie ma też sygnałów, by sprawca zmieniał lub manipulował zapisanymi informacjami.

Po wykryciu incydentu uruchomiono działania zabezpieczające, a sprawa jest analizowana we współpracy z odpowiednimi organami ścigania i nadzoru. Na ten moment nie ma dowodów, że pozyskane dane zostały opublikowane lub wykorzystane w sposób przestępczy.

GUTcert: wyciek z systemów audytowych

Drugi incydent dotyczy firmy GUTcert z Berlina, działającej w obszarze certyfikacji systemów zarządzania, usług środowiskowych oraz audytów. Organizacja obsługuje m.in. certyfikacje ISO, walidacje EMAS, weryfikacje emisji i szkolenia.

Według przekazanych informacji atak rozpoczął się 5 września 2026 r., kiedy nieznani sprawcy uzyskali nieuprawniony dostęp do części systemów IT. Między 6 a 9 września miało dojść do wyniesienia około 640 GB danych. Incydent zauważono dopiero w nocy z 9 na 10 września podczas rutynowej pracy zespołu IT.

Spółka podjęła szereg działań obronnych, w tym m.in.:

• dezaktywację przejętych kont użytkowników,
• wymianę certyfikatów VPN,
• reset konta KRBTGT dwa razy,
• zmianę poświadczeń administratorów i kluczy SSH,
• wycofanie skompromitowanego systemu początkowego,
• ponowne wystawienie certyfikatu kontrolera domeny i innych certyfikatów,
• zaostrzenie monitoringu systemów,
• odizolowanie kolejnej aktywnej sesji e-mail znalezionej 15 września.

Firma zgłosiła sprawę do właściwego organu ochrony danych oraz policji, a dodatkowo powiadomiła także BSI. Klienci i audytorzy mieli zostać poinformowani 14 września.

Jakie dane mogły wypłynąć?

W przypadku GUTcert lista potencjalnie ujawnionych informacji jest szersza i bardziej problematyczna z punktu widzenia firm korzystających z usług audytowych. Wśród danych wymieniono:

• dane osobowe pracowników,
• dane finansowe i podatkowe spółki,
• dane klientów przechowywane w wewnętrznych repozytoriach projektowych,
• dane kontaktowe,
• dokumentację audytową i raporty,
• dokumentację systemów zarządzania i procedur,
• informacje techniczne oraz o potencjalnych słabościach,
• możliwe dane dostępowe, certyfikaty i inne informacje poufne.

Co ważne, na obecnym etapie nie ma dowodów, że naruszono platformę Nextcloud ani zawarte tam dane. Nie znaleziono też przesłanek, by osobne zbiory danych dotyczące audytorów zostały skopiowane.

Ryzyko dla klientów i infrastruktury krytycznej

W przypadku GUTcert szczególnie istotny jest fakt, że firma działa także jako procesor danych dla swoich klientów. To oznacza, że po stronie tych klientów mogą pojawić się własne obowiązki zgłoszeniowe wynikające z RODO.

Szczególną uwagę powinny zwrócić podmioty objęte regulacjami BSIG oraz NIS2, zwłaszcza jeśli należą do infrastruktury krytycznej. W praktyce może to dotyczyć operatorów energetycznych, sieci gazowych, ciepłowniczych i innych organizacji, dla których wyciek dokumentacji technicznej lub informacji o podatnościach może mieć realne konsekwencje operacyjne.

Co łączy oba incydenty?

Choć LMU i GUTcert działają w zupełnie innych obszarach, oba przypadki pokazują ten sam problem: atakujący coraz częściej celują nie tylko w same dane osobowe, ale także w dokumentację operacyjną, techniczną i organizacyjną.

W praktyce taki materiał bywa nawet cenniejszy niż pojedyncze rekordy osobowe, bo może ujawniać:

• strukturę organizacji,
• relacje z klientami i partnerami,
• wewnętrzne procedury,
• słabe punkty infrastruktury,
• dane, które można wykorzystać do dalszych ataków.

Na ten moment oba podmioty prowadzą dalsze czynności wyjaśniające, a pełna skala skutków pozostaje jeszcze przedmiotem analizy.