На форуме программистов DOU появилась публикация о предполагаемой масштабной утечке данных с платформы «Единая школа». Пользователь Андрей Т. заявил, что обнаружил в открытом доступе персональную информацию миллионов украинских школьников, их родителей и педагогов.
По словам автора сообщения, он не проводил специального исследования, а лишь решил проверить собственные данные в интернете в целях безопасности. Во время проверки ему якобы удалось обнаружить базу с большим количеством персональной информации, которая, как утверждается, уже используется отдельными Telegram-ботами для поиска сведений о людях.
Пользователь также рассказал, что во время дальнейшего изучения системы обнаружил административную панель официального сайта платформы. По его словам, доступ к системе управления контентом можно было получить, используя стандартные учетные данные admin/admin, при этом дополнительная защита в виде двухфакторной аутентификации отсутствовала.
Андрей отметил, что такой пароль сам по себе не обязательно является причиной утечки базы данных. Однако, по его мнению, подобный подход свидетельствует о недостаточном уровне внимания к вопросам кибербезопасности при разработке проекта и может объяснять появление других критических уязвимостей.
При этом автор публикации не стал размещать ссылки на Telegram-ботов или видеоматериалы с демонстрацией обнаруженных проблем. Он пояснил, что сознательно отказался от публикации подобных данных, чтобы не способствовать массовому распространению персональной информации и не создавать дополнительные возможности для мошенников.
По словам пользователя, все собранные материалы и технические доказательства были переданы модераторам форума для проверки. Кроме того, как утверждается, информация об инциденте уже оформлена в виде технического отчета для дальнейшего реагирования.
Автор публикации также сообщил, что ранее пытался обратить внимание на проблему через средства массовой информации. Однако, по его словам, отсутствие широкого общественного резонанса привело к тому, что обнаруженные недостатки в системе безопасности так и не были устранены. Он считает, что использование образовательной платформы с подобными рисками для защиты персональных данных является недопустимым, особенно в условиях военного времени.
