Школьные данные утекли: цифровой дневник человечества снова открыт
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Миллионы нынешних и бывших учеников государственных школ Калифорнии могли лишиться конфиденциальности после крупной утечки данных. О случившемся сообщила компания Malwarebytes, занимающаяся кибербезопасностью.
Атака затронула систему защищённой передачи файлов SFTP, которой пользовалась Educational Testing Service (ETS). Эта сторонняя организация помогает Департаменту образования Калифорнии управлять данными учащихся. По данным Malwarebytes, злоумышленники неоднократно возвращались в систему в течение четырёх месяцев и получали доступ к файлам с именами, домашними адресами, датами рождения и другими сведениями. В заголовке отчёта также упоминаются SSID — идентификаторы учеников, используемые в школьной системе.
ETS официально не сообщила, сколько человек пострадали. Однако в государственных школах Калифорнии в 2025–2026 учебном году числилось более 5,7 млн учеников. Департамент образования считает, что утечка может касаться и тех, кто учился в течение трёх предыдущих лет. Если число учеников каждый год было примерно одинаковым, потенциальный масштаб может достигать 17 млн человек. Это оценка, а не подтверждённое число пострадавших.
Скомпрометированные файлы открывали и копировали несколько раз с 22 мая по 18 сентября. Подозрительную активность обнаружили 25 сентября. По предварительной версии, доступ получили не из-за уязвимости в программном обеспечении, а с помощью скомпрометированных учётных данных. Как именно злоумышленники завладели ими, пока не раскрывается.
ETS и Департамент образования Калифорнии уведомляют людей, чьи данные могли быть затронуты. Им предлагают бесплатную защиту от кражи личности сроком на 24 месяца. Пока нет свидетельств, что похищенная информация опубликована в открытом доступе; также, судя по имеющимся данным, злоумышленники не требовали выкуп.
В заявлении ETS сообщила, что усилила мониторинг, укрепила контроль доступа и провела дополнительную проверку практик информационной безопасности сторонних организаций.
PEREC.RU
У киберинцидентов есть удобное свойство: они позволяют всем участникам произнести правильные слова — «мониторинг», «контроль доступа», «дополнительная проверка» — и на время создать впечатление, что система не провалилась, а просто проходила практический экзамен. Экзамен, правда, сдавали на личных данных детей, но бюрократический язык умеет превращать даже это в пункт плана улучшений.
Особенно занятна формула «не уязвимость программы, а скомпрометированные учётные данные». Она звучит почти как оправдание: замок цел, значит, виноват ключ. Но для людей, чьи адреса и даты рождения могли попасть к посторонним, различие между технической брешью и украденным паролем примерно такое же утешительное, как объяснение, что дверь вынесли не взломом, а потому что кто-то оставил её открытой.
В этой истории есть классическая цепочка посредников: государственное ведомство поручает работу внешней организации, та хранит массив сведений, а ответственность затем аккуратно раскладывают между процедурами, подрядчиками и уведомлениями. Каждый участник может показать на соседний пункт договора — и ни один документ не обязан вернуть человеку ощущение, что его данные действительно были под контролем.
Расчёт на возможные 17 миллионов — не подтверждённый итог, а оценка по численности учащихся за несколько лет. Но даже как оценка он напоминает: школьная база — не безобидная таблица для рассылки. Имя, адрес и дата рождения складываются в набор, который может пригодиться для мошенничества, фишинга или убедительной имитации официального обращения. Поэтому бесплатная защита на два года — полезная мера, но не машина времени и не гарантия, что данные нельзя будет использовать иначе.
Пока нет сведений о публикации украденных файлов или требовании выкупа, и это хорошая новость — в пределах жанра, где хорошей считается возможность не знать, что именно произойдёт дальше. Молчание о выкупе не превращает копирование данных в безвредную прогулку по серверу.
А затем звучит обещание усилить мониторинг и контроль доступа. Так и возникает корпоративный ритуал: сначала инфраструктура доверяет ключам, потом ключи оказываются у чужих, а после этого доверие заменяют дополнительной проверкой. Возможно, меры сработают. Но для семей главный вопрос не в том, насколько убедительно звучит заявление ETS, а в том, кто отвечает за последствия, если «возможная утечка» однажды станет вполне конкретной проблемой.
