Niniejszym, zgodnie z art. 34 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia
27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych
osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
powiadamiamy o naruszeniu danych osobowych, które nastąpiło w ramach naszej odpowiedzialności
jako administratora danych osobowych. Nasze wewnętrzne analizy wykazały, że incydent może mieć
wpływ dane osobowe naszych klientów, w tym ich pracowników.
Dlatego chcielibyśmy przekazać informacje na temat naruszenia danych osobowych i jego
potencjalnych konsekwencji:

• Opis zdarzenia: W dniu 19.01.2025 r. wykryto incydent bezpieczeństwa polegający na
  nieuprawnionym dostępie osób trzecich do infrastruktury informatycznej MBM. W wyniku ataku
  mogło dojść do nieuprawnionego dostępu do danych przechowywanych na serwerach MBM oraz ich
  zaszyfrowania, w tym również zaszyfrowania kopii zapasowych. Na jednym z serwerów
  pozostawiono plik zawierający żądanie okupu. Podmiot świadczący obsługę IT potwierdził także
  usunięcie części logów systemowych oraz dalsze próby naruszenia zabezpieczeń.
• Konsekwencje zdarzenia: Na skutek ataku opisanego powyżej dostęp do danych osobowych mogła
  uzyskać osoba nieupoważniona. Do możliwych konsekwencji zdarzenia należy zaliczyć:

1. utratę kontroli nad własnymi danymi osobowymi;
2. ograniczenie możliwości realizowania praw z art. 15-22 RODO;
3. strata finansowa;
4. naruszenie prywatności;
5. potencjalne ataki phishingowe;
6. utrata historii zamówień przez podmioty danych;
7. niechciany kontakt.

• Środki podejmowane w celu zminimalizowania lub złagodzenia skutków:
  Po wykryciu incydentu Administrator niezwłocznie podjął działania mające na celu ograniczenie jego
  skutków oraz zabezpieczenie systemów informatycznych. W szczególności skorzystano ze wsparcia
  wyspecjalizowanego podmiotu IT, odizolowano zagrożone zasoby od sieci oraz rozpoczęto działania
  zmierzające do odzyskania danych i przywrócenia ciągłości działania.
  Administrator przeprowadził weryfikację urządzeń wykorzystywanych w organizacji, w tym kontrolę
  pod kątem obecności złośliwego oprogramowania, a także wdrożył dodatkowe zabezpieczenia
  mające na celu ograniczenie ryzyka dalszych prób nieuprawnionego dostępu. W ramach działań
  ostrożnościowych dokonano również zmiany haseł dostępowych do systemów i usług
  wykorzystywanych w organizacji.
  Równolegle Administrator dokonał zgłoszenia incydentu do właściwych organów, w tym do CSIRT
  NASK oraz organów ścigania.
  W celu zmniejszenia ryzyka wystąpienia podobnych zdarzeń w przyszłości Administrator planuje
  również wdrożenie działań korygujących, obejmujących m.in. szkolenia z zakresu bezpieczeństwa IT
  dla personelu, aktualizację systemów, wdrożenie centralnie zarządzanego oprogramowania
  ochronnego oraz zmianę sposobu wykonywania kopii zapasowych.

Zaleca się zachowanie szczególnej ostrożności w przypadku otrzymywania wiadomości e-mail lub
telefonów dotyczących danych osobowych, w szczególności nieudostępnianie danych
uwierzytelniających oraz niewchodzenie w podejrzane linki. W przypadku zaobserwowania
niepokojących zdarzeń prosimy o niezwłoczny kontakt z Administratorem.
W celu uzyskania dodatkowych informacji z MBM można skontaktować się pod adresem:
e-mail: gliwice@mbm.edu.pl