Ansattsøk misbrukt til datalekkasje

Fredrikstad kommune ble lørdag varslet av HelseCERT om at en omfattende database med ansattopplysninger lå ute for salg eller bytte.

Meldingen kom etter at ukjente aktører publiserte det som beskrives som et uttrekk fra kommunens Microsoft Active Directory. Dette er en sentral database som styrer brukertilganger og informasjon om ansatte i en virksomhet.

Ifølge opplysninger som er lagt ut på forumet, inneholder lekkasjen mer enn 25.000 databaseoppføringer.

Selv anslår kommunen at cirka 7000 personer er berørt av lekkasjen. Det fremgår av en avviksmelding Digi har skaffet til veie.

NRK omtalte hendelsen først.

Ansattsøk utnyttet

Kommunen forklarer hendelsen med en svakhet i deres egen løsning for ansattsøk på nettsidene. Denne funksjonen var ment som en digital telefonkatalog, men det viste seg at den kunne misbrukes til å hente ut langt mer informasjon enn det som var planlagt.

Kommunen presiserer at lekkasjen ikke omfatter passord, innlogging eller tilgang til selve IT-systemene.

Likevel inneholder materialet personopplysninger og felter som kan indikere organisasjonsstruktur og roller, noe som ofte brukes av kriminelle til å utforme troverdige svindelforsøk mot ansatte.

Økt risiko for målrettet svindel og phishing, uønsket kontakt og misbruk av kontaktopplysninger er blant mulige konsekvenser, viser kommunens avviksmelding til Datatilsynet.

Ingen tegn til videre innbrudd

Det lekkede datasettet inneholder blant annet navn, e-postadresser, telefonnumre og arbeidssted for ansatte i både Fredrikstad og Hvaler kommuner.

Fredrikstad kommune skriver i en kunngjøring at ansattsøket ble stengt umiddelbart og at tilgangen er fjernet.

– Det er ikke funnet indikasjoner på at sensitiv informasjon som passord eller sikkerhetsnøkler har vært eksponert, og det er ikke tegn til videre kompromittering av IT-miljøet, blir det opplyst.

Saken vurderes som uønsket eksponering av katalogdata, ikke et sikkerhetsbrudd mot kjernesystemene.

Fredrikstad kommune gjennomgår nå den berørte løsningen, samt sin logging og rutinger, for å hindre at lignende hendelser kan oppstå i fremtiden.