Ηνωμένο Βασίλειο: Μαθητές πίσω από κυβερνοεπιθέσεις σε σχολεία

Το Γραφείο Επιτρόπου Πληροφοριών (ICO) έχει προειδοποιήσει ότι οι μαθητές βρίσκονται συχνά πίσω από τις κυβερνοεπιθέσεις σε σχολεία και κολέγια του Ηνωμένου Βασιλείου.

Μεταξύ Ιανουαρίου 2022 και Αυγούστου 2024, το ICO ανέλυσε 215 αναφορές παραβίασης δεδομένων από τον τομέα της εκπαίδευσης, που αφορούσαν εσωτερικές απειλές. Διαπίστωσε ότι το 57% των περιστατικών προκλήθηκαν από μαθητές. Σχεδόν το ένα τρίτο προήλθε από κλεμμένα στοιχεία σύνδεσης, με τους μαθητές να ευθύνονται για το 97% αυτών των περιπτώσεων.

Ενώ το Χόλιγουντ έχει παρουσιάσει τους έφηβους χάκερ με έναν βαθμό γοητείας, η πραγματικότητα που περιγράφεται από το ICO είναι πολύ πιο καταστροφική. Τα παιδιά δεν εισβάλλουν σε συστήματα, αλλά συνδέονται, συχνά εκμεταλλευόμενα αδύναμους κωδικούς πρόσβασης ή κακές πρακτικές προστασίας δεδομένων.

Δείτε επίσης: Η Scattered Spider στοχεύει τον χρηματοοικονομικό τομέα

Κυβερνοεπιθέσεις σε σχολεία από μαθητές: Περιστατικά

Ένα περιστατικό, που περιέγραψε το ICO, δείχνει πόσο γρήγορα η περιέργεια μπορεί να μετατραπεί σε σοβαρή παραβίαση. Τρεις μαθητές της 11ης τάξης απέκτησαν παράνομα πρόσβαση στο σύστημα διαχείρισης πληροφοριών ενός σχολείου (δευτεροβάθμια εκπαίδευση), το οποίο περιέχει προσωπικές πληροφορίες περισσότερων από 1.400 μαθητών. Όταν ερωτήθηκαν, τα παιδιά παραδέχτηκαν ότι ενδιαφέρονταν για την πληροφορική και την κυβερνοασφάλεια και ότι ήθελαν να δοκιμάσουν τις δεξιότητες και τις γνώσεις τους. Χρησιμοποίησαν εργαλεία που κατέβασαν από το διαδίκτυο για να σπάσουν κωδικούς πρόσβασης και πρωτόκολλα ασφαλείας. Δύο από τα παιδιά παραδέχτηκαν ότι ανήκουν σε διαδικτυακό φόρουμ χάκερ.

Σε ένα άλλο περιστατικό, ένας μαθητής απέκτησε παράνομα πρόσβαση στο σύστημα διαχείρισης πληροφοριών ενός κολεγίου και στη συνέχεια είδε, τροποποίησε ή διέγραψε προσωπικές πληροφορίες που ανήκαν σε περισσότερους από 9.000 υπαλλήλους και μαθητές. Το σύστημα αποθήκευε προσωπικές πληροφορίες όπως ονόματα, διευθύνσεις κατοικίας, σχολικά αρχεία, δεδομένα υγείας, safeguarding logs, λογιστικά αρχεία και επαφές έκτακτης ανάγκης. Η έρευνα του κολεγίου διαπίστωσε ότι ο μαθητής χρησιμοποίησε στοιχεία σύνδεσης προσωπικού για να αποκτήσει πρόσβαση στα συστήματά του. Το περιστατικό αναφέρθηκε στην αστυνομία και στην Action Fraud.

Δείτε επίσης: Το DoJ καταδικάζει εκ νέου τον ιδρυτή του BreachForums

Το ICO διαπίστωσε ότι το 23% των περιστατικών στον τομέα της εκπαίδευσης προκλήθηκαν από κακές πρακτικές προστασίας δεδομένων. Το προσωπικό μπορεί να αποκτούσε πρόσβαση σε αρχεία χωρίς απαραίτητες άδειες, να άφηνε συσκευές χωρίς επίβλεψη ή να επέτρεπε στους μαθητές να χρησιμοποιούν συσκευές προσωπικού. Ένα άλλο 20% αφορούσε το προσωπικό που έστελνε δεδομένα σε προσωπικούς λογαριασμούς, ενώ το 17% προήλθε από κακώς διαμορφωμένα δικαιώματα πρόσβασης. Επιπλέον, ένα 5% αφορούσε εσωτερικούς χρήστες που παρέκαμψαν σκόπιμα την ασφάλεια του δικτύου.

“Ενώ τα εκπαιδευτικά ιδρύματα αντιμετωπίζουν μεγάλο αριθμό κυβερνοεπιθέσεων, υπάρχουν αυξανόμενες ενδείξεις ότι η ‘εσωτερική απειλή’ είναι ελάχιστα κατανοητή, σε μεγάλο βαθμό ανεπίλυτη και μπορεί να οδηγήσει σε μελλοντικό κίνδυνο“, δήλωσε η Heather Toomey, Ειδική στον τομέα της Κυβερνοασφάλειας. “Αυτό που ξεκινά ως πρόκληση ή διασκέδαση σε σχολικό περιβάλλον μπορεί τελικά να οδηγήσει τα παιδιά να συμμετέχουν σε καταστροφικές επιθέσεις σε οργανισμούς ή κρίσιμες υποδομές“.

Το ICO προτρέπει τα σχολεία να ενισχύσουν την εκπαίδευση, να μειώσουν την περιττή πρόσβαση και να διασφαλίσουν ότι η προστασία δεδομένων ενημερώνεται τακτικά. Οι γονείς ενθαρρύνονται επίσης να μιλούν ανοιχτά για την κυβερνοασφάλεια με τα παιδιά τους.

Δείτε επίσης: Η RevengeHotels αξιοποιεί το AI για διανομή του VenomRAT

Μαθητές hackers

Η προειδοποίηση του ICO για την αυξανόμενη εμπλοκή μαθητών σε κυβερνοεπιθέσεις στα σχολεία αποκαλύπτει μια ανησυχητική πραγματικότητα: το «ταλέντο» στην πληροφορική, όταν συνδυάζεται με αμέλεια στα μέτρα ασφαλείας, μπορεί να μετατραπεί σε σοβαρή απειλή. Το γεγονός ότι τόσες παραβιάσεις προέρχονται από παιδιά δείχνει όχι μόνο την ευκολία με την οποία μπορούν να εκμεταλλευτούν αδύναμους κωδικούς ή ελλείψεις συστημάτων, αλλά και την απουσία επαρκούς εκπαίδευσης γύρω από την ηθική χρήση της τεχνολογίας.

Η συζήτηση δεν αφορά απλώς την ασφάλεια δεδομένων, αλλά και το πώς η «ψηφιακή περιέργεια» μπορεί να οδηγήσει τους νέους σε επικίνδυνα μονοπάτια. Οι σχολικές μονάδες καλούνται να δουν την κυβερνοασφάλεια όχι μόνο ως τεχνικό μέτρο, αλλά και ως παιδαγωγικό εργαλείο, διδάσκοντας υπευθυνότητα στον ψηφιακό χώρο. Αν δεν καλλιεργηθεί έγκαιρα η σωστή κουλτούρα, οι μαθητές που σήμερα «πειραματίζονται» αύριο ενδέχεται να εξελιχθούν σε οργανωμένους κυβερνοεγκληματίες.