Как данните на един от бившите президенти на Южна Корея изтичат от университетска система

Кибератака срещу южнокорейския университет Sogang през август 2026 г. компрометира данните на 180 000 студенти, бивши възпитаници и служители, сред които и бившият президент на страната Пак Гън-хе. Пробивът остава незабелязан три дни — достатъчно време един компрометиран достъп да се превърне във вход към множество свързани системи. Случаят показва един от най-сериозните рискове пред съвременните организации: когато удобството на единния достъп не е придружено от строг контрол, една изтекла парола може да отвори много повече врати, отколкото предполагаме.

Пак Гън-хе, която е президент на Южна Корея в периода 2013–2017 г., завършва университета Sogang през 1974 г. Десетилетия след дипломирането ѝ и няколко години след края на нейния мандат става ясно, че тя е сред 180 000 студенти, бивши възпитаници и служители, чиито данни са компрометирани при кибератака срещу висшето училище през август 2026 г.

Пробивът е засечен три дни след извършването му. Три дни, през които нападателят е имал свободен достъп до система, проектирана за удобство – един акаунт, един вход, много услуги. При подобна организация едно-единствено компрометиране не ограничава мащаба на атаката.

Въпросът, който малко организации си задават навреме

Повечето разговори за киберсигурност започват едва след като вече се е случил инцидент.

Паролите се заменят, достъпът се ограничава, изпращат се уведомления. Но ключовият въпрос е друг: ако една парола изтече днес, докъде може да стигне човекът, който я е придобил, и до колко от данните, които тя трябва да защитава, може да получи достъп?

При централизирана система за вход отговорът е: много по-далеч, отколкото би трябвало.

Принципът, с който университетът Sogang се е сблъскал, е известен в киберсигурността като „lateral movement“ – странично движение на атакуващия от един компрометиран ресурс към следващия. Колкото по-малко са вратите между отделните системи, толкова по-бързо може да се разпространи пробивът.

Централизираният вход е удобство за потребителя, но може да се превърне и в ускорител за атакуващия.

Решението не е организациите да се откажат от централизацията. Решението е върху нея да бъде изграден допълнителен и ефективен контрол.

Кой до какво и кога има достъп?

Identity and Access Management – IAM – е подходът, при който организацията не просто управлява кой разполага с акаунт, а определя кой до какво конкретно може да достига, при какви условия и от какво устройство.

Студентът, служителят, администраторът и външният партньор не трябва да разполагат с еднакви права – всеки получава достъп единствено до ресурсите, необходими за неговата работа.

У нас А1 предлага на корпоративните си партньори IAM решения, които следят поведението на потребителите в реално време. Опит за вход от непознато устройство, достъп до нетипичен ресурс, активност в необичаен час – при подобен съмнителен сигнал достъпът може да бъде изолиран автоматично, преди единичният инцидент да се е разраснал.

При сценарий като този в Sogang три дни с активно наблюдение биха изглеждали много по-различно от три дни „в тъмното“.

Удостоверяване на повече нива – всички го знаят, не всички го прилагат

Многофакторното удостоверяване (MFA) е мярката, за която всички са чували, но която далеч не навсякъде е внедрена там, където трябва.

При активирано MFA компрометираната парола сама по себе си не е достатъчна – необходим е втори фактор, до който нападателят обичайно няма достъп.

Ключовото тук не е просто дали MFA изобщо е включено, а дали обхваща всичко – включително административните акаунти с най-широки права и централизираните системи за вход от типа на тази в Sogang.

Подобен контрол не отменя риска, но ограничава неговия мащаб. Един компрометиран профил не би трябвало автоматично да означава свободен достъп до всичко, което стои зад него.

Какво следва след пробив

Първата реакция е ясна: сменете паролата и проверете дали същата комбинация е използвана и другаде – особено когато служебни и лични услуги споделят едни и същи данни за вход.

Но проверката не трябва да спира дотам.

Изтекли имена, телефонни номера и имейл адреси са напълно достатъчни, за да бъде създадено убедително и персонализирано съобщение.

Социалното инженерство разчита именно на тази информация – и точно затова техническите мерки трябва да бъдат допълнени с подготовка на хората. Служителите, които предварително разпознават тази логика и знаят как действат подобни атаки, са по-подготвени да защитят не само личните си акаунти, но и организацията, в която работят.

Регулаторният контекст

В България разговорът за защитата на достъпа придобива още по-голяма тежест с прилагането на NIS2. 

Изискванията поставят по-конкретен фокус върху управлението на риска, контрола върху достъпа, реакцията при инциденти и отговорността на ръководствата. Заедно с GDPR те напомнят, че защитата на личните данни не е само въпрос на тяхното съхранение – тя е и въпрос на контрол върху това кой може да достигне до тях и при какви условия.

Затова е важно компаниите да подготвят служителите си за подобни ситуации с обучения като A1 Security Awareness Training.

Решението запознава корпоративните партньори на А1 и техните служители с реални примери за манипулативни съобщения, с правилните действия при съмнение и с ясните канали за сигнализиране.

Пробивът в Sogang е непредвидена лекция по киберсигурност.

Той показва, че една парола е само началото.

Истинският въпрос е колко системи стоят зад нея.