Πρώην φοιτήτρια κατηγορείται για παραβιάσεις του Πανεπιστημίου Western Sydney

Η Αστυνομία της Νέας Νότιας Ουαλίας (NSW) στην Αυστραλία ανακοίνωσε τη σύλληψη μιας 27χρονης πρώην φοιτήτριας του Πανεπιστημίου Western Sydney (WSU), με κατηγορίες για παραβίαση πανεπιστημιακών συστημάτων και κλοπή δεδομένων που ξεκινούν από το 2021. Η γυναίκα, που φέρεται να είναι η Birdie Kingston, αντιμετωπίζει 20 κατηγορίες για μη εξουσιοδοτημένη πρόσβαση, παραβίαση πληροφοριακών συστημάτων και διαρροή ευαίσθητων δεδομένων.

Αυτό που ξεκίνησε ως προσπάθεια εξασφάλισης φθηνότερης στάθμευσης, εξελίχθηκε —σύμφωνα με τις αρχές— σε μια εκτεταμένη εκστρατεία ψηφιακής διείσδυσης, η οποία φέρεται να έθεσε σε κίνδυνο προσωπικά στοιχεία χιλιάδων φοιτητών και μελών του προσωπικού του πανεπιστημίου.

«Από το 2021, το WSU αποτέλεσε στόχο διαδοχικών κυβερνοεπιθέσεων, με παραβιάσεις δεδομένων, μη εξουσιοδοτημένη πρόσβαση σε κρίσιμα συστήματα και κατάχρηση της πανεπιστημιακής υποδομής – συμπεριλαμβανομένης της απειλής για την πώληση πληροφοριών φοιτητών στο σκοτεινό διαδίκτυο», δήλωσε εκπρόσωπος της Αστυνομίας.

Δείτε επίσης: Ιρανοί hackers διέρρευσαν δεδομένα αθλητών των Saudi Games

Στόχος 47.000 φοιτητές και 4.500 υπάλληλοι

Το WSU είναι ένα από τα μεγαλύτερα πανεπιστήμια της Αυστραλίας, με πάνω από 47.000 εγγεγραμμένους φοιτητές και 4.500 εργαζόμενους, ενώ ο ετήσιος προϋπολογισμός του ξεπερνά τα 600 εκατομμύρια δολάρια ΗΠΑ. Όπως φαίνεται, η υποδομή του βρέθηκε στο στόχαστρο επαναλαμβανόμενων επιθέσεων, τις οποίες το ίδρυμα αποκάλυψε σταδιακά το τελευταίο έτος.

• Μάιος 2024: Το πανεπιστήμιο επιβεβαίωσε παραβίαση στο περιβάλλον του Microsoft Office 365, η οποία είχε ξεκινήσει έναν χρόνο νωρίτερα, επηρεάζοντας 7.500 άτομα.
• Απρίλιος 2025: Αποκαλύφθηκαν δύο νέα περιστατικά. Το πρώτο σχετιζόταν με παραβίαση του συστήματος single sign-on (SSO) του Πανεπιστημίου, μεταξύ Ιανουαρίου και Φεβρουαρίου 2025, επηρεάζοντας περίπου 10.000 φοιτητές. Το δεύτερο περιστατικό αφορούσε διαρροή δεδομένων στο dark web, η οποία ξεκίνησε από την 1η Νοεμβρίου 2024.

Οι αρχές θεωρούν πως η πρώην φοιτήτρια Birdie Kingston ενδέχεται να είναι πίσω από όλα αυτά τα μεγάλα περιστατικά ασφαλείας (και άλλα) που έχουν καταγραφεί τα τελευταία τέσσερα χρόνια.

Αυστραλία: Στη δικαιοσύνη πρώην φοιτήτρια για κυβερνοεπιθέσεις στο WSU

Κατά την επιχείρηση σύλληψης που πραγματοποιήθηκε στο Kingswood, αστυνομικές δυνάμεις της Νέας Νότιας Ουαλίας προχώρησαν σε κατάσχεση ηλεκτρονικών υπολογιστών και κινητών τηλεφώνων, τα οποία ενδέχεται να περιέχουν κρίσιμα ψηφιακά τεκμήρια για τη δράση της 27χρονης Birdie Kingston.

Δείτε επίσης: Hackers στοχεύουν developers με 35 κακόβουλα npm packages

Οι ερευνητές θεωρούν ότι η δραστηριότητα της κατηγορούμενης κλιμακώθηκε από απλές παραβιάσεις –όπως αλλοίωση της πρόσβασης σε φοιτητικό πάρκινγκ και τροποποίηση ακαδημαϊκών αρχείων– σε σοβαρές απόπειρες εκβιασμού, με αποκορύφωμα την απειλή διάθεσης προσωπικών δεδομένων στο dark web.

Σύμφωνα με δημοσιεύματα τοπικών μέσων, η αστυνομία είχε προειδοποιήσει επίσημα την Kingston ήδη από τον Σεπτέμβριο του 2023, όταν διέμενε ακόμη στις φοιτητικές εστίες. Ωστόσο, η ίδια φέρεται να αγνόησε τις αρχές και να συνέχισε τις κυβερνοεπιθέσεις της εναντίον του ιδρύματος.

Τα ίδια ρεπορτάζ κάνουν λόγο για κλοπή άνω των 100 GB ευαίσθητων δεδομένων, παραποίηση βαθμολογιών, παράνομη πρόσβαση σε προνόμια στάθμευσης, καθώς και απειλές πώλησης φοιτητικών πληροφοριών σε φόρουμ του dark web. Μάλιστα, σε μία από τις υποθέσεις, η Kingston φέρεται να απαίτησε λύτρα ύψους 40.000 δολαρίων σε κρυπτονόμισμα, προκειμένου να μη δημοσιοποιήσει τα δεδομένα.

Το WSU δηλώνει συνεργασία με τις αρχές

Σε δήλωσή του στο BleepingComputer, το Πανεπιστήμιο Western Sydney επιβεβαίωσε τη συνεργασία του με τις αρχές και ευχαρίστησε την αστυνομία για τη συμβολή της:

«Το Πανεπιστήμιο Western Sydney συνεργάζεται με την Αστυνομία της Νέας Νότιας Ουαλίας για να υποστηρίξει τις έρευνες. Τα περιστατικά αυτά είχαν σοβαρό αντίκτυπο στην πανεπιστημιακή κοινότητα και εκτιμούμε βαθιά τη βοήθεια των αρχών. Καθώς η υπόθεση βρίσκεται πλέον ενώπιον της Δικαιοσύνης, δεν θα κάνουμε περαιτέρω σχόλια», ανέφερε εκπρόσωπος του ιδρύματος.

Η υπόθεση της Birdie Kingston είναι ενδεικτική μιας ανησυχητικής, αλλά όχι σπάνιας πλέον, πραγματικότητας στον χώρο της κυβερνοασφάλειας: η πρόσβαση και η εξοικείωση με την τεχνολογία δίνουν σε μεμονωμένα άτομα τεράστια ισχύ, ικανή να απειλήσει ακόμα και οργανισμούς με υψηλό προφίλ και υποδομές εκατομμυρίων.

Δείτε επίσης: Οι hackers APT28 χρησιμοποιούν το Signal για διανομή malware

Αυτό που ξεκίνησε —αν ισχύουν οι κατηγορίες— ως προσπάθεια εξαπάτησης για ένα φθηνότερο πάρκινγκ, εξελίχθηκε σε πολυετή ψηφιακή εκστρατεία, με κλοπή δεδομένων, αλλοίωση συστημάτων και απόπειρες εκβιασμού. Αν μη τι άλλο, δείχνει:

1. Πόσο εύθραυστες είναι οι ψηφιακές άμυνες ακόμα και σε μεγάλα εκπαιδευτικά ιδρύματα.
2. Πώς ένα άτομο με επαρκείς δεξιότητες μπορεί να εκμεταλλευτεί εσωτερική γνώση, να αποφύγει την ανίχνευση για χρόνια και να έχει πρόσβαση σε τεράστιο όγκο ευαίσθητων δεδομένων.
3. Ότι η κυβερνοεγκληματικότητα δεν χρειάζεται οργανωμένα δίκτυα – μπορεί να προέρχεται από ένα άτομο με τα κατάλληλα κίνητρα και τεχνική δυνατότητα.

Επίσης, η περίπτωση δείχνει και ένα κενό στον χειρισμό “γνωστών δραστών”: η αστυνομία την είχε ήδη προειδοποιήσει το 2023, αλλά φέρεται να συνέχισε ανενόχλητη. Αυτό εγείρει ερωτήματα για την επάρκεια παρακολούθησης και αντίδρασης σε περιστατικά που ξεφεύγουν από το καθαρά τεχνικό επίπεδο και αγγίζουν ποινικές ευθύνες.

Τέλος, για το ίδιο το πανεπιστήμιο, η κατάσταση αναδεικνύει την ανάγκη ενίσχυσης των πολιτικών ασφαλείας: όχι μόνο τεχνολογικά, αλλά και σε επίπεδο διαχείρισης εσωτερικής πρόσβασης, ελέγχων και εκπαίδευσης προσωπικού και φοιτητών. Οι οργανισμοί δεν μπορούν πλέον να θεωρούν την ασφάλεια πολυτέλεια ή ευθύνη μόνο του IT τμήματος.

Πηγή: www.bleepingcomputer.com