Komunikat o incydencie bezpieczeństwa

2026-10-26

Szanowni Państwo,

w imieniu Instytutu Slawistyki PAN, na podstawie art. 34 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), informujemy o naruszeniu ochrony danych osobowych, które mogło dotyczyć Państwa danych przechowywanych na platformie czasopism naukowych OJS (journals.ispan.edu.pl).

 

1. Na czym polegało naruszenie?

W dniu 15 października 2026 r., w godzinach 02:52–04:15, nieuprawniona osoba uzyskała dostęp do platformy OJS, wykorzystując przejęte hasło jednego z redaktorów oraz lukę bezpieczeństwa oprogramowania.

Sprawca uzyskał uprawnienia administratora systemu i możliwość dostępu do bazy danych oraz nieopublikowanych materiałów naukowych i recenzji.

Naruszenie wykryto 15 października 2026 r. około godziny 11:00. Niezwłocznie zablokowano dostęp do platformy i rozpoczęto działania zabezpieczające.

 

2. Jakie dane mogły zostać ujawnione?

Naruszenie mogło dotyczyć danych około 7900 użytkowników platformy, w tym autorów, recenzentów, redaktorów i członków rad naukowych czasopism.

Osoba nieuprawniona mogła uzyskać dostęp do następujących danych:

  • imion i nazwisk;
  • adresów poczty elektronicznej;
  • afiliacji naukowych i instytucjonalnych;
  • skrótów kryptograficznych haseł (tzw. haszy);
  • informacji zawartych w nieopublikowanych artykułach naukowych, zgłoszeniach wydawniczych i recenzjach.

Analiza logów i ruchu sieciowego nie wykazała pobierania danych z serwera. Nie można jednak wykluczyć, że sprawca uzyskał dostęp do tych informacji lub je skopiował.

 

3. Jakie mogą być konsekwencje naruszenia?

Potencjalne konsekwencje obejmują:

  • próby nieuprawnionego dostępu do innych kont internetowych, zwłaszcza jeżeli wykorzystywali Państwo takie same lub podobne hasła;
  • próby oszustw internetowych, podszywania się pod użytkowników lub wyłudzania informacji za pomocą fałszywych wiadomości e-mail;
  • naruszenie prywatności i poufności danych;
  • możliwość nieuprawnionego wykorzystania nieopublikowanych materiałów naukowych, naruszenia praw autorskich, poufności procesu recenzyjnego oraz interesów naukowych i zawodowych autorów.

Ze względu na charakter materiałów naukowych Instytut nie jest w stanie samodzielnie ocenić wszystkich potencjalnych konsekwencji ich ujawnienia. Autorzy powinni indywidualnie ocenić, czy ewentualne nieuprawnione wykorzystanie ich materiałów mogłoby naruszać ich prawa lub interesy.

 

4. Jakie działania podjął Instytut?

Niezwłocznie po wykryciu incydentu:

  • zablokowano nieuprawniony dostęp do platformy;
  • usunięto złośliwe oprogramowanie i konto utworzone przez sprawcę;
  • unieważniono przejęte hasło i dotychczasowe klucze dostępu;
  • przeprowadzono analizę bezpieczeństwa systemu;
  • zainstalowano nową wersję platformy OJS i usunięto wykorzystaną lukę bezpieczeństwa;
  • wprowadzono obowiązkową zmianę haseł wszystkich użytkowników oraz zwiększono wymagania dotyczące ich długości.

Bezpieczne funkcjonowanie platformy przywrócono 17 października 2026 r.

 

5. Co powinni Państwo zrobić?

W celu ograniczenia potencjalnych negatywnych skutków naruszenia zalecamy:

  • Zmianę hasła do platformy OJS przy pierwszym logowaniu po przywróceniu serwisu.
  • Niezwłoczną zmianę haseł w innych serwisach i systemach, jeżeli korzystali Państwo w nich z takiego samego lub podobnego hasła jak na platformie OJS.
  • Stosowanie silnych, unikalnych haseł do każdego serwisu oraz włączenie uwierzytelniania dwuskładnikowego tam, gdzie jest ono dostępne.
  • Zachowanie szczególnej ostrożności wobec wiadomości e-mail zawierających prośby o podanie hasła, danych osobowych lub otwarcie podejrzanych załączników.
  • W przypadku autorów nieopublikowanych prac naukowych – dokonanie indywidualnej oceny, czy potencjalne ujawnienie materiałów mogłoby naruszać ich prawa autorskie, poufność badań lub inne uzasadnione interesy. W razie stwierdzenia nieuprawnionego wykorzystania materiałów prosimy o kontakt z Instytutem.

 

6. Gdzie można uzyskać dodatkowe informacje?

W przypadku pytań dotyczących naruszenia ochrony danych osobowych lub jego potencjalnych konsekwencji prosimy o kontakt z Inspektorem Ochrony Danych Instytutu Slawistyki PAN:

  • Imię i nazwisko IOD: dr Krzysztof Radtke
  • Adres e-mail: iod@ispan.edu.pl

 

Przepraszamy za zaistniałą sytuację i związane z nią niedogodności. Zapewniamy, że bezpieczeństwo danych osobowych traktujemy priorytetowo i podjęliśmy działania mające na celu ograniczenie skutków incydentu oraz zapobieżenie podobnym zdarzeniom w przyszłości.

 

Z poważaniem,

dr hab. Ewa Golachowska, prof. IS PAN
Dyrektorka Instytutu Slawistyki PAN