На форумі програмістів DOU з'явилася публікація про ймовірний масштабний витік даних із платформи «Єдина школа». Користувач Андрій Т. заявив, що виявив у відкритому доступі персональну інформацію мільйонів українських школярів, їхніх батьків та педагогів.
За словами автора повідомлення, він не проводив спеціального дослідження, а лише вирішив перевірити власні дані в інтернеті з метою безпеки. Під час перевірки йому нібито вдалося виявити базу з великою кількістю персональної інформації, яка, як стверджується, вже використовується окремими Telegram-ботами для пошуку відомостей про людей.
Користувач також розповів, що під час подальшого вивчення системи виявив адміністративну панель офіційного сайту платформи. За його словами, доступ до системи керування контентом можна було отримати, використовуючи стандартні облікові дані admin/admin, при цьому додатковий захист у вигляді двофакторної автентифікації був відсутній.
Андрій зазначив, що такий пароль сам по собі не обов'язково є причиною витоку бази даних. Однак, на його думку, подібний підхід свідчить про недостатній рівень уваги до питань кібербезпеки під час розробки проєкту та може пояснювати появу інших критичних вразливостей.
Водночас автор публікації не став розміщувати посилання на Telegram-ботів чи відеоматеріали з демонстрацією виявлених проблем. Він пояснив, що свідомо відмовився від публікації таких даних, щоб не сприяти масовому поширенню персональної інформації та не створювати додаткові можливості для шахраїв.
За словами користувача, усі зібрані матеріали та технічні докази були передані модераторам форуму для перевірки. Крім того, як стверджується, інформацію про інцидент уже оформлено у вигляді технічного звіту для подальшого реагування.
Автор публікації також повідомив, що раніше намагався привернути увагу до проблеми через засоби масової інформації. Однак, за його словами, відсутність широкого суспільного розголосу призвела до того, що виявлені недоліки в системі безпеки так і не були усунуті. Він вважає, що використання освітньої платформи з такими ризиками для захисту персональних даних є неприпустимим, особливо в умовах воєнного часу.
