- Złośliwe oprogramowanie zostało zidentyfikowane na jednej ze stacji roboczych uczelni. Incydent został zgłoszony do służb państwa, które rozpoczęły intensywne działania. Podjęto m.in. kroki związane z zapewnieniem bezpieczeństwa oraz ograniczeniem skutków naruszenia. Trwają również analizy związane z wykryciem sprawców. Dotychczasowe ustalenia nie wskazują, że cyberprzestępcy uzyskali dostęp do danych osobowych z zasobów uczelni - napisał na platformie X wicepremier Krzysztof Gawkowski.

Jak podała PAP rzeczniczka prasowa Uniwersytetu Warszawskiego dr Anna Modzelewska, po otrzymaniu informacji o trwającej kampanii złośliwego oprogramowania, 9 lutego br., Zespół ds. Bezpieczeństwa Informacji UW „niezwłocznie rozpoczął weryfikację środowiska teleinformatycznego uczelni”.

- W wyniku przeprowadzonych analiz potwierdzono obecność złośliwego oprogramowania typu ransomware w części infrastruktury IT Uniwersytetu Warszawskiego. Ustalono, że zdarzenie miało miejsce w styczniu 2026 roku. Zidentyfikowano stację roboczą, z której wprowadzono złośliwe oprogramowanie do środowiska uczelni. (...) Jednocześnie podjęto działania techniczne w celu wykrycia i usunięcia nieautoryzowanego dostępu, obecnie prowadzona jest dalsza analiza techniczna oraz weryfikacja integralności systemów. Dotychczasowe ustalenia nie wskazują na wystąpienie nieuprawnionego dostępu do danych osobowych - przekazała.

Zaznaczyła, że bezpieczeństwo danych i infrastruktury pozostaje jednym z priorytetów Uniwersytetu Warszawskiego, dlatego incydent jest „analizowany z najwyższą starannością”. W trosce o transparentność działań - podała rzeczniczka UW - uczelnia poinformowała też o zdarzeniu w komunikacie na stronie uczelni. - Niezwłocznie zgłoszono zdarzenie do zespołu reagowania na incydenty bezpieczeństwa CERT Polska, złożono zawiadomienie do policji, informacja o zdarzeniu została przekazana do wiadomości prezesa Urzędu Ochrony Danych Osobowych - wyjaśniła.

Wicepremier Gawkowski przypomniał, że instytucje publiczne, w tym uczelnie oraz firmy, powinny stale przykładać najwyższą wagę do zabezpieczania dostępu elektronicznego do swoich systemów oraz działać zgodnie z zasadami ustanowionymi w Krajowym Systemie Cyberbezpieczeństwa (KSC). - Nowe narzędzia w tym zakresie są wprowadzane nowelizacją ustawy o KSC, która oczekuje obecnie na podpis Prezydenta. Polska musi maksymalnie wzmacniać swoje możliwości ochrony cyberprzestrzeni, jako najbardziej atakowane państwo w UE - dodał.

Znaczenie uchwalonej w styczniu br. nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa podkreśliła również we wtorkowym stanowisku Konferencja Rektorów Akademickich Szkół Polskich. Według KRASP, choć od lat obowiązywały przepisy wymagające zabezpieczenia systemów teleinformatycznych – w tym wynikające z Krajowych Ram Interoperacyjności, w praktyce brakowało jednolitego nadzoru, jasnych standardów i realnych mechanizmów egzekwowania obowiązków. Co więcej, mimo rosnącej skali zagrożeń cyberbezpieczeństwo nie było zadaniem pierwszej potrzeby. W opinii KRASP nowelizacja dostosowuje poziom wymagań cyberbezpieczeństwa do realnego poziomu ryzyka. W praktyce oznacza to zróżnicowanie obowiązków po stronie uczelni i instytutów.

Najwyższe wymagania dotyczą konkretnych systemów i procesów związanych z badaniami stosowanymi i pracami rozwojowymi. Pozostałe obszary działalności uczelni i instytutów objęte są mniej rygorystycznymi, choć nadal wysokimi standardami. Takie rozwiązanie pozwala skutecznie chronić te elementy systemu nauki, które rzeczywiście mają znaczenie strategiczne, bez paraliżowania codziennego funkcjonowania uczelni.

Istotna zmiana dotyczy jednoznacznego określenia odpowiedzialności. Znowelizowana ustawa wyraźnie przypisuje jednostkom naukowym, rektorom i dyrektorom instytutów obowiązki w zakresie cyberbezpieczeństwa. Przyznaje też ministrowi nauki i szkolnictwa wyższego szereg uprawnień i obowiązków w zakresie nadzoru i kontroli. System nie ogranicza się do sankcji. Przewiduje bowiem zapewnienie środków na cyberbezpieczeństwo w nauce i utworzenie CSIRT Nauka.

- Dzięki tym rozwiązaniom cyberbezpieczeństwo przestaje być wyłącznie kwestią techniczną. Staje się elementem zarządzania i odpowiedzialności instytucjonalnej. Uczelnie i instytuty muszą wiedzieć, jak mają działać w tym zakresie. Nowelizacja ustawy o KSC przynosi konkretne rozwiązania – uznał dr hab. Dariusz Szostek, prof. UŚ, przewodniczący Zespołu ds. Cyberbezpieczeństwa KRASP, cytowany w komunikacie KRASP.

Prof. Bogumiła Kaniewska, przewodnicząca KRASP, zaznaczyła, że sektor nauki i szkolnictwa wyższego potrzebuje zawartych w nowelizacji rozwiązań. - Cyberbezpieczeństwo w tym sektorze jest naszą wspólną odpowiedzialnością – zarówno uczelni i instytutów, jak też organów władzy publicznej. W imieniu całego środowiska akademickiego apeluję do pana Prezydenta o podpisanie nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa – dodała przewodnicząca KRASP. (PAP)

ekr/ bar/