– Opptil 780 studenter med kundeforhold til Sit kan være berørt, de skal ha blitt varslet.
Dette skriver Sit i en pressemelding.
Studentsamskipnaden i Gjøvik, Ålesund og Trondheim (Sit) ble den 14. august informert om et dataangrep på kundebasen deres.
Systemleverandøren deres fortalte at uvedkommende kan ha fått tilgang til personopplysninger lagret i kundedatabasen.
Det er derfor en risiko for at personopplysninger er på avveier.
– Da dette ble kjent, satte vi krisestab i Sit. Vi ser svært alvorlig på hendelsen og har jobbet kontinuerlig med å rette problemet og kartlegge omfanget, sier administrerende direktør Morten Wolden.
For mange brukere opprettet samtidig
Wolden forklarer at leverandøren deres fredag kveld oppdaget unormal aktivitet.
Det ble plutselig etablert flere nye kunder i boligsystemet til studentsamskipnaden.
Når man blir kunde i systemet blir det automatisk generert en tekstmelding (SMS) tilbake for å få verifisert telefonnummeret, forklarer Wolden til NRK.
Studentsamskipnaden betaler da for SMS-ene som blir sendt. I dette tilfellet var telefonnumrene som ble registrert utenlandske.
– I de landene som vi snakker om kan man ta betalt store summer bare for en SMS, sier Wolden.
Og disse pengene skal igjen ha gått til falske telefonselskaper, mener han.
Da det ble opprettet svært mange brukere på samme tid, fikk nye kunder samme ID som eksisterende kunder. Dermed fikk man mulighet til å få informasjon om andre når man logget seg inn.
Oppfordrer til å slette informasjon
Spesialrådgiver Eirik Gulbrandsen i Datatilsynet sier til NRK at hendelsen er såpass ny at de ikke har mer informasjon om saken per nå.
Derfor uttaler han seg på generelt grunnlag, og sier at de ser en økning i denne typer hendelser fra år til år.
Gulbrandsen sier at det er viktig at bedrifter, både offentlige og private, selv ser på hvilke systemer de har og vurderer om de har systemer hvor man må gjøre utbedringer.
– Man må i større grad enn tidligere kunne forvente at man kan bli utsatt for denne type hendelser.
I tillegg oppfordrer han virksomheter til å vurdere å slette informasjon som de ikke lenger behøver å ha lenger.
– Det er en effektiv måte å forhindre at ting kommer på avveie på.
Problemet er identifisert og rettet
– Vi har ikke indikasjoner så langt på at personopplysninger er lekket, men det kan ha vært et resultat, sier Wolden.
Opplysninger som kan være på avveier er, ifølge Wolden, navn, e-postadresser, personnummer, bostedsadresser og eventuelt personinformasjon som opplysninger om samboere og barn.
– Det er ikke helseopplysninger som er gått ut, sier Wolden til NRK.
Han forteller videre i pressemeldingen at det ble gjennomført tiltak for å stanse aktiviteten og sikre kundedatabasen.
– Problemet knyttet til dataangrepet er identifisert og rettet.
Datatilsynet er varslet om hendelsen i henhold til gjeldende regelverk.
– Det er beklagelig at dette har skjedd. Angrepet framstår som et forsøk på å tjene penger på SMS-verifisering, og ikke primært for å hente ut persondata, men vi kan ikke stadfeste dette med 100 prosent sikkerhet, sier Wolden.
Wolden forteller at de jobber med systemleverandøren for å sørge for at dette ikke skjer igjen.
– Men vi kan ikke garantere for dette, for vi blir jo helt sikkert fortsatt utsatt for hacking slik som veldig mange andre blir, men akkurat denne muligheten her er det sperret for.
Har du blitt berørt av dette? Gjerne send oss en melding!