Dane studentów opublikowano w darknecie. „Traktujemy tę sprawę bardzo poważnie”

Uniwersytet Warszawski wydał komunikat w związku z incydentem cyberbezpieczeństwa. Poinformowano w nim o możliwości naruszenia ochrony danych osobowych. Zawiadomienie skierowano do członków społeczności akademickiej UW, w tym studentów, doktorantów, kandydatów na studia, pracowników, a także osób współpracujących z uczelnią. Chodzi o udostępnienie danych osobowych w darknecie, do czego doszło w nocy z 15 na 16 kwietnia 2026 r.

„Wiemy, że takie sytuacje mogą budzić niepokój, dlatego traktujemy tę sprawę bardzo poważnie. Od razu podjęliśmy działania, aby ograniczyć skutki zdarzenia i lepiej zabezpieczyć dane na przyszłość. Na bieżąco analizujemy sytuację i robimy wszystko, co możliwe, aby podobne incydenty się nie powtórzyły” – brzmi fragment oświadczenia. Naruszenie zgłoszono do prezesa UODO. Prowadzona jest też aktywna współpraca z CERT Polska i Centralnym Biurem Zwalczania Cyberprzestępczości.

Włamali się do systemów informatycznych UW. Stopniowo uzyskiwali kolejne dostępy

Jeśli chodzi o szczegóły to miało miejsce nieuprawione wejście do systemów informatycznych Uniwersytetu Warszawskiego. Zalogowano się przy użyciu prawidłowego loginu i hasła, które zostały wcześniej przejęte – najprawdopodobniej w wyniku działania złośliwego oprogramowania na urządzeniu użytkownika. Zaznaczono, że „osoby odpowiedzialne za atak działały w sposób rozproszony i trudny do wykrycia, stopniowo uzyskując dostęp do kolejnych elementów systemu”.

UW podkreślił, że „nie doszło do zakłócenia działania kluczowych systemów uczelni”. Incydent wykryto 9 lutego, a dane mogły zostać skopiowane między styczniem a lutym. W darknecie opublikowano około 200 tys. plików o rozmiarze 850 GB. Zdecydowana większość plików z danymi osobowymi pochodzi z dwóch jednostek uczelni – Wydział Neofilologii oraz Wydział Stosowanych Nauk Społecznych i Resocjalizacji.

Opublikowano wcześniej wykradzione pliki. Znane szczegóły

Zakres wycieku był zróżnicowany. W zależności od przypadku mógł obejmować m.in. dane: identyfikacyjne, w tym szczególnego rodzaju (np. imię i nazwisko, datę urodzenia, obywatelstwo, płeć, numer PESEL, nr i serię dokumentu tożsamości, nr paszportu); kontaktowe (adres zamieszkania, e-mail, nr telefonu, nazwa użytkownika); finansowe i podatkowe (nr rachunku bankowego, dane z dokumentów podatkowych), czy te związane z zatrudnieniem (umowy, przebieg zatrudnienia).

Do tego doszły też dane dotyczące zdrowia (np. informacje zawarte w zwolnieniach lekarskich), związane z ubezpieczeniami społecznymi, zawarte w korespondencji elektronicznej oraz wizerunek. Uniwersytet Warszawski na razie nie może jednoznacznie potwierdzić, kto padł ofiarą ataku hakerskiego. Konsekwencje wycieku to m.in. utrata prywatności, kradzież tożsamości, czy różnego rodzaju ryzyka prawne i finansowe, takie jak zaciąganie pożyczek bez wiedzy danej osoby.

Uniwersytet Warszawski ofiara cyberataku. „Przepraszamy za wszelkie niedogodności”

W ramach środków zaradnych zaproponowano: zabezpieczenie tożsamości i danych finansowych oraz dostępu do kont i usług, ograniczenie dostępności danych w przestrzeni publicznej, ostrożność w kontaktach i komunikacji, reagowanie na nieprawidłowości. UW poprosił o kontakt w przypadku wiedzy o wykorzystaniu konkretnych danych osobowych lub zauważenia niepokojących sygnałów. „Przepraszamy za wszelkie niedogodności” – podsumowano.