Школы открывают двери — и цифровые тоже

Почему школам нужно защищать не только людей, но и цифровых «невидимок»

В начале учебного года школы, колледжи и университеты Великобритании одновременно подключают тысячи новых учеников, студентов и сотрудников. Им создают учётные записи, выдают доступы и подключают устройства к сетям. Такая спешка удобна не только администраторам: ошибки в настройках и забытые разрешения становятся возможностью для злоумышленников. В этом году риск усиливает искусственный интеллект (ИИ): фишинговые письма выглядят убедительнее, а число неучтённых машинных идентификаторов — цифровых учётных данных программ и устройств — растёт.

Образовательные учреждения остаются частой целью атак. По данным правительственного опроса Великобритании о киберугрозах, о взломе или атаке не реже раза в неделю сообщили 27% учреждений среднего профессионального и высшего образования, 20% средних школ и 14% начальных школ. Для вымогателей и похитителей учётных данных учебные заведения привлекательны сочетанием ценной информации — данных учащихся, финансовых сведений и результатов исследований — с ограниченными ресурсами ИТ-служб и постоянной сменой пользователей.

В начале учебного года риск особенно заметен: массово создаются аккаунты, регистрируются устройства и подключаются сторонние приложения. Всё это повышает вероятность неверных настроек и избыточных прав доступа. Правительственные данные показывают, что ни один уровень системы образования не достиг даже 50% учреждений, выполнивших все десять рекомендаций Великобритании по кибербезопасности: показатели составили 14% для начальных школ, 23% для средних, 33% для колледжей дальнейшего образования и 45% для вузов. Когда в уже уязвимую среду одновременно входят тысячи новых пользователей и устройств, пробелы в защите труднее заметить и устранить.

ИИ делает обман убедительнее. Фишинг — поддельные сообщения, выманивающие пароли и другие данные, — был главной угрозой среди учреждений, сообщивших об инцидентах. Теперь письмо может точно копировать стиль службы поддержки, отдела студенческих выплат или руководства университета — без привычных ошибок, по которым раньше распознавали подделку.

Исследование Keeper Security об ИИ и кибербезопасности в образовании показало: 41% школ сталкивались с киберинцидентами, связанными с ИИ, включая фишинг и дезинформацию. О возможных угрозах такого рода беспокоятся 90% руководителей образования, однако лишь каждый четвёртый уверен, что сможет распознать дипфейк или фишинг, созданный с помощью ИИ. Поэтому безопасность нельзя строить на надежде, что каждый пользователь вовремя заметит подозрительное письмо: нужны надёжные механизмы управления идентификаторами и доступом.

Важны не только человеческие аккаунты

В начале учебного года ИТ-команды обычно сосредоточены на учётных записях учеников и сотрудников. Но в образовательных системах есть и огромная, менее заметная группа цифровых сущностей — нечеловеческие идентификаторы (Non-Human Identities, NHI). Это учётные данные, с помощью которых программы, сервисы и устройства взаимодействуют между собой.

К NHI относятся служебные аккаунты, синхронизирующие данные учащихся с учебными платформами, ключи API для подключения сторонних приложений, электронных учебников и платёжных систем. Сертификаты и машинные идентификаторы используются для подключения к кампусному Wi-Fi, интерактивным доскам, лабораторному оборудованию и камерам наблюдения. Облачные процессы автоматически выполняют резервное копирование, обрабатывают исследовательские данные и помогают вести административную работу. ИИ-агенты — например, чат-боты приёмных комиссий, виртуальные помощники службы поддержки и инструменты проверки заданий — тоже получают собственные идентификаторы и права доступа.

Без этих систем современное образование не работает. Но если пароли и ключи редко меняют, старые токены интеграций продолжают действовать, а автоматизированным аккаунтам выдают больше прав, чем нужно, они превращаются в уязвимость. В отличие от сотрудников и учащихся, машинные аккаунты не проходят обычные процедуры приёма и увольнения. Без полного реестра организация может не знать, какие идентификаторы существуют, кто за них отвечает и к каким данным они имеют доступ. Последствия взлома не становятся мягче оттого, что злоумышленник вошёл через машину, а не через человека.

Начало учебного года — подходящий момент проверить весь набор идентификаторов, человеческих и машинных: удалить ненужные и ограничить права тех, что остаются. Для защиты ИТ-службам рекомендуют:

• Включить многофакторную аутентификацию (MFA) для аккаунтов преподавателей, сотрудников и учащихся. Новые пользователи должны получать её сразу при создании учётной записи. MFA требует подтвердить вход дополнительным способом и помогает защититься от кражи паролей.
• Проверить привилегированный доступ. Следует пересмотреть права и людей, и машинных аккаунтов: закрыть доступ ушедшим сотрудникам и учащимся, отключить просроченные служебные аккаунты и убрать ненужные административные полномочия.
• Использовать корпоративные менеджеры паролей. Обучение помогает понять, какими должны быть надёжные пароли, но не всегда меняет привычки: пароли повторно используют, записывают или сохраняют в браузере. Менеджер паролей помогает создавать и хранить уникальные сложные пароли.
• Составить реестр NHI. Нужно учесть каждый служебный аккаунт, ключ API, машинный сертификат, облачный идентификатор и ИИ-агент, назначить ответственного и зафиксировать доступные ему системы и данные.
• Регулярно менять машинные учётные данные. Особого внимания требуют ИИ-агенты и интеграции сторонних образовательных сервисов, добавленные к началу учебного года. В статье приводится взлом системы управления обучением Canvas, о котором сообщили в апреле 2026 года: он затронул почти 9 000 образовательных учреждений по всему миру. Этот случай напоминает, что пароли и ключи поставщиков нужно менять с той же дисциплиной, что и внутренние учётные данные. Доступ партнёров следует регулярно пересматривать, а безопасность поставщиков — проверять.
• Обновлять обучение сотрудников. Инструктаж должен учитывать фишинговые письма, созданные ИИ и похожие на настоящие сообщения учреждения. Необычные просьбы нужно проверять независимо, а не оценивать только по внешнему виду письма.

Начало учебного года неизбежно добавляет работы ИТ-командам, но не обязано становиться открытым окном для атакующих. Защита должна охватывать не только новых учеников и сотрудников, но и каждый идентификатор, которому открыт путь к важным системам и данным. Надёжная аутентификация, ограничение привилегий, аккуратное обращение с паролями и видимость машинных аккаунтов заметно сокращают риски.

Кибербезопасность — не сезонный список дел перед первым звонком, а постоянная работа. И человеку, и машине следует выдавать только те права, которые нужны для конкретной задачи, и лишь на необходимый срок.