Útočník stáhl ze studijního systému Univerzity Karlovy data včetně osobních údajů

Univerzita Karlova v pátek 13. listopadu zveřejnila vyjádření vedení ke kybernetickému incidentu. Útočník podle něj kompromitoval jednu z webových aplikací univerzity a přes ni se dostal k údajům centrálního Studijního informačního systému (SIS). „Dosavadní technické šetření potvrdilo, že útočník neoprávněně získal a stáhl část údajů evidovaných v SIS, včetně osobních údajů,“ píše univerzita. Kolika lidí se únik týká, jaké údaje přesně odnesl a jestli je už někdo zneužil, škola podle vlastních slov teprve zjišťuje.

SIS je podle nápovědy univerzity hlavní portál studijní agendy pro studenty, vyučující i zaměstnance: od přihlášky ke studiu přes zápis předmětů, známky a rozvrhy po tisk potvrzení o studiu. Která aplikace byla napadená, vyjádření neuvádí.

Co univerzita potvrdila a co zatím neříká

Napadenou aplikaci univerzita odstavila a zabezpečila přístupy k ní. Incident nahlásila Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB) a podala trestní oznámení na neznámého pachatele. Policie podle zprávy ČTK oznámení přijala. „Mohu potvrdit, že jsme dnešního dne přijali oznámení v souvislosti s tímto případem a v současné chvíli se jím zabýváme a zjišťujeme všechny bližší okolnosti,“ řekl agentuře mluvčí pražské policie Richard Hrdina. Mluvčí NÚKIB Jakub Neščivera jen potvrdil, že se úřad útokem zabývá; podrobnosti podle něj sdělovat nemůže kvůli vyšetřování a zákonné mlčenlivosti.

Vyjádření neříká, kdy přesně útok začal, kdy ho univerzita odhalila ani jakou cestou útočník do aplikace pronikl. Píše jen, že škola incident řeší „v posledních dnech“ a že o dalších zjištěních bude informovat podle průběhu šetření. Ke zpracování osobních údajů univerzita na své stránce o GDPR uvádí, že má povinnost lidi o závažném porušení bezpečnosti nebo úniku jejich údajů informovat. Ve vyjádření k incidentu stojí, že potřebná opatření vůči dotčeným osobám teprve vyhodnocuje.

Bezpečnostní web školy hlásil potíže už od úterý

Víc časových údajů má univerzitní web o kyberbezpečnosti:

Jestli incidenty na dvou fakultách souvisejí s únikem ze SIS, univerzita zatím nenapsala. Zápis z 12. listopadu mluví o „incidentech“ v množném čísle a slibuje k nim oficiální informace „v nejbližších hodinách“. Na stejném webu stojí i to, že páteční výpadek Microsoftu postihl e-maily univerzity v doménách, které běží ve službě Microsoft 365, a že porucha není na straně univerzity. Výpadek popsal i článek o potížích firemních a školních účtů Microsoftu 365.

Jedno heslo do CAS otevírá SIS, poštu i knihovny

Centrální autentizační služba (CAS) je podle nápovědy univerzity elektronická identita studentů i zaměstnanců: jedním přihlášením otevírá SIS, univerzitní e-mail, knihovny a další aplikace. V e-mailu studentům, ze kterého cituje ČTK, výměnu označuje za preventivní opatření a dává na ni deset dní od doručení výzvy. Jestli útočník získal i hesla, univerzita neuvádí.

Heslo se mění v účtu CAS, postup je ve stejné nápovědě. Bezpečnostní tým v pokynech pro případ podezření na útok radí měnit heslo z jiného, důvěryhodného zařízení a používat dvoufázové ověření.

Na únik se můžou odvolávat podvodné e-maily

Univerzita v zápisu z 12. listopadu varuje před podvodnými e-maily, které by se mohly incidentu chytit, a připomíná, jak poznat skutečnou zprávu. Oficiální e-maily mají chodit z adres v doméně cuni.cz a nemají obsahovat klikací odkazy, nanejvýš na stránky v doméně cuni.cz. Kdo si není jistý, může zprávu ověřit na výpočetním středisku fakulty nebo ji přeposlat ke kontrole na abuse@cuni.cz.

Podobné podvody už univerzita na témže webu popisovala. V březnu 2025 chodily phishingové e-maily z prolomených účtů v doméně cuni.cz a vedly na napodobeninu přihlašovací stránky CAS; tu šlo podle univerzity poznat podle adresy mimo univerzitní doménu. V dubnu 2026 rozesílali podvodníci falešné žádosti o nabídky z domény c-uni.cz s podpisy skutečných zaměstnanců. Stránka Aktuální hrozby k tomu jmenuje i podvodné SMS a telefonáty, ve kterých se volající vydává za IT podporu nebo vedení fakulty.

ČVUT čelilo útoku před třemi týdny

Jiná pražská vysoká škola čelila útoku v říjnu. České vysoké učení technické tehdy podle iROZHLAS.cz odstavilo část systémů a útok spojilo s celosvětovými pokusy zneužít kritické chyby v PHP, o kterých psal magazín v článku o záplatování českých hostingů. U Univerzity Karlovy žádnou takovou souvislost vyjádření vedení netvrdí. Zmínka o php2shell na jejím bezpečnostním webu je z 22. října a popisuje jen kontroly a opravy serverů.

Zdroje

• Univerzita Karlova: Vyjádření vedení Univerzity Karlovy ke kybernetickému incidentu
• Kyberbezpečnost na Univerzitě Karlově: Aktuálně
• ČeskéNoviny.cz (ČTK): Univerzita Karlova řeší kybernetický útok, útočník získal i osobní údaje
• Lupa.cz: Univerzitu Karlovu napadli hackeři
• Univerzita Karlova, Centrum nápovědy: Studijní informační systém
• Univerzita Karlova, Centrum nápovědy: Uživatelský účet a heslo
• Univerzita Karlova, Centrum nápovědy: Jak postupovat při podezření na bezpečnostní incident
• Univerzita Karlova, Centrum nápovědy: Aktuální hrozby
• Univerzita Karlova: Ochrana osobních údajů (GDPR)
• iROZHLAS.cz: Hackeři zaútočili na ČVUT