На платформі «Єдина школа» виявили витік даних мільйонів українців

Витік персональних даних мільйонів українців виявили на платформі «Єдина Школа». Допис про це розмістив користувач Андрій Т. на форумі програмістів «dou.ua».

Він заявив, що виявив катастрофічний злив даних мільйонів українських учнів, батьків та вчителів з офіційної платформи «Єдина Школа», яка має сертифікати КСЗІ та рекомендації МОН. Він заявив, що безпека даних дітей під час війни — це не те, на чому компанії мають право економити чи проявляти халатність.

За словами користувача, він просто перевіряв власні дані в мережі з міркувань безпеки і випадково виявив цей витік. Те, що він знайшов далі, його «відверто шокувало». База даних платформи вже нібито активно використовується в Telegram-ботах для деанонімізації людей.

У злитих таблицях, назви яких в оригіналі були написані російською, містилися мільйони записів із персональними даними. Доступ до системи управління контентом платформи був захищений логіном і паролем: admin / admin.

"Коли я почав дивитися глибше, то випадково знайшов адмін-панель (CMS) їхнього головного інформаційного сайту (не самого електронного щоденника, а саме системи управління контентом). Заради цікавості спробував ввести найбанальніший дефолтний пароль admin / admin — і система просто впустила мене всередину без жодної двофакторної автентифікації чи блокувань", — написав Андрій.

Він вказав, що така слабка захищеність навряд чи є прямим джерелом витоку самої бази, але це яскравий показник того, як розробники ставилися до безпеки всього проєкту.

"Якщо в адмінці головного сайту стоїть такий дефолтний пароль, це наочно пояснює, чому уразливості в системі взагалі з’явилися і базу врешті-решт витягли", — написав Андрій.

Прямі посилання на Telegram-боти та відеозаписи з доказами він не викладав, щоб «не провокувати хвилю масового деанону та шахрайства». Але, за словами Андрія, він передав повний пакет доказів модераторам форуму для верифікації цієї теми. Офіційний технічний репорт про цей інцидент вже нібито було зафіксовано для вжиття заходів.

Андрій пояснив, чому оприлюднив інформацію на форумі. Раніше він писав про проблему в ЗМІ, але через відсутність публічного розголосу критичні проблеми з безпекою досі не були усунуті розробниками. Користувач вважає, що використання платформи з таким ставленням до кібербезпеки в українських закладах освіти є неприпустимим.