Säkerhetsintrång på Musik- och kulturskolan Sandels – anställdas kontaktlistor läcktes

Den 12 och 13 april utsattes två anställda för säkerhetsintrång i form av nätfiske. De som utförde attacken kom över personernas kontaktlistor och enstaka telefonnummer och adresser främst till myndigheter och skolor.

Attacken skedde när Musik- och kulturskolans tidigare rektor och nuvarande lärare utsattes för nätfiske den 12 april.

Nätfiske innebär att angriparen skickar ett falskt meddelande till mottaggaren i syfte att få tag i känslig information. Om meddelandet öppnas infekteras mottagarens enhet med skadlig kod som kan läcka känslig information.

I det här fallet gav bluffmejlet sken av att komma från någon som personen kände, vilket gjorde att han litade på kontakten. Han skrev in sitt lösenord för att få tillgång till ett konfidentiellt meddelande, berättar nuvarande rektor Nike Lönnqvist.

Det i sin tur ledde till att kontaktlistan som fanns i e-posten läcktes. Och trots att e-postkontot spärrades så hann angriparna skicka ut liknande meddelanden i hans namn.

Enstaka telefonnummer och adresser främst till myndigheter och andra musikinstitut läcktes också. Vad gäller privatpersoner är det endast den före detta rektorns privata kontakters telefonnummer som har läckt. Ingen av dem är kopplade till musikinstitutet, säger Lönnqvist.

Ytterligare en attack den 13 april

– Innan vi vidtog ytterligare säkerhetsåtgärder för e-postkontona så hade en till anställd gått i fällan och matat in sin kod. Hennes adressbok blev också utsatt för samma intrång, berättar Lönnqvist.

Den 14 april gjorde skolan en brottsanmälan och anmälde händelsen till Dataskyddsombudsmannen och Cybersäkerhetscentralen. Anmälan gjordes inom 78 timmar efter att attackerna hade upptäckts.

– Därefter spärrade vi våra e-postkonton och säkerhetscertifierade dem. Vår elevdatabas har däremot inte utsatts för intrång, berättar Lönnqvist.

I samband med intrånget kontaktades alla som hade utsatts för bluffmejlet. Och nu har även alla vars e-post läcktes men som inte utsattes för något intrång kontaktats. De kan komma att utsättas för nätfiske i framtiden, säger Lönnqvist.

Elevernas personliga information skyddad

– Det finns en risk att elevernas e-postadresser kan ha läckt om de fanns i den pensionerade rektorns kontaktlista.

Däremot har ingen personlig information om eleverna läckts i och med att den informationen finns i ett skyddat elevhanteringssystem som är fristående från Google-plattformen som personalen använder, säger Lönnqvist.

Starkare skydd

En stor del av e-postkontona skyddas nu genom tvåstegsverifiering. Personalen har även blivit uppmanad att radera sådan information i e-posten som inte får läcka ut, berättar Lönnqvist.

Hon menar att det är en balansgång mellan säkerhet och lättillgänglighet när det kommer till att hitta lösningar som fungerar för undervisningsbranschen.

– Systemen på nätet är sköra och vi är alla utsatta. Vi försöker så gott vi kan men de som utvecklar intrång är säkert mer kunniga. Vi måste vidta så mycket försiktighetsåtgärder som vi kan.

Artikelns rubrik redigerades kl. 20.28.