Procurili podaci više od 560 tisuća hrvatskih učenika i nastavnika? Oglasio se CARNET

Informacija o navodnom curenju osjetljivih podataka iz hrvatskog obrazovnog sustava, koja se tijekom dana proširila internetom, prema svemu sudeći pokazala se točnom. Na jednom internetskom forumu javno je objavljena kriptirana datoteka s velikom količinom podataka povezanih s učenicima osnovnih i srednjih škola u Hrvatskoj. Redakcija DNEVNIK.hr imala je uvid u bazu te je izravnom provjerom potvrdila da se u njoj nalaze stvarni i točni podaci.

Službeni upit o ovom sigurnosnom incidentu poslan je Ministarstvu znanosti i obrazovanja. Njihov odgovor bit će objavljen čim bude zaprimljen. Iako se isprva postavljalo pitanje je li riječ o lažnoj uzbuni, testnim zapisima ili nasumično generiranim podacima, naknadne provjere upućuju na drukčiji zaključak. Stručnjaci koji su o slučaju raspravljali na LinkedInu, kao i novinari DNEVNIK.hr-a koji su pregledali dešifrirani sadržaj baze, potvrdili su da se radi o autentičnim podacima. Pretragom imena vlastite djece, njihovih školskih kolega i pripadajućih škola utvrđeno je da se u bazi nalaze precizni zapisi.

Pozornost javnosti na objavu s foruma skrenuo je korisnik Reddita, koji je nakon uklanjanja ponovljenih unosa, odnosno deduplikacije e-mail adresa, naveo da baza sadržava 563.509 jedinstvenih zapisa. Svaki zapis uključuje ime i prezime učenika ili nastavnika, naziv obrazovne ustanove, tip korisnika te službenu adresu elektroničke pošte s domenom @skole.hr. Prema dostupnim podacima, bazom je obuhvaćeno 1452 škole u Hrvatskoj, a korisnici su razvrstani kao učenici, nastavnici ili drugi korisnici sustava.

U analizi strukture baze novinar DNEVNIK.hr-a uočio je detalj koji bi mogao biti važan za utvrđivanje izvora curenja, ali i starosti same baze. Pretragom je, naime, utvrđeno da se u bazi nalaze podaci učenika viših razreda osnovne škole, primjerice onih koji su upravo završili šesti razred, dok podaci učenika nižih razreda, poput djece koja su završila drugi razred, nisu pronađeni. Takav nalaz otvara dvije moguće teze za računalne stručnjake koji pokušavaju utvrditi gdje je nastao sigurnosni propust.

24sata javlja da CARNET u svome priopćenju ističe kako su upoznati s informacijama o neovlaštenom dijeljenju podataka povezanih s osnovnim i srednjim školama. "Odmah po saznanju pokrenuta je opsežna tehnička i forenzička analiza kako bi se utvrdila vjerodostojnost objavljenih podataka, njihov opseg, podrijetlo te način na koji su dospjeli u javnost. Prema informacijama kojima trenutačno raspolažemo, objavljeni podaci uključuju ime i prezime korisnika, adresu elektroničke pošte, naziv škole te korisničku ulogu. Analiza njihova podrijetla i opsega još uvijek traje", ističu.

"Iako se ne radi o podacima koji omogućuju pristup korisničkim računima, upozoravamo korisnike na povećan rizik od ciljanih phishing napada i drugih oblika socijalnog inženjeringa. Stoga pozivamo na dodatan oprez prilikom zaprimanja elektroničke pošte u kojima se traže podaci za prijavu ili druge osobne informacije", upozorili su.

U CARNET-u ističu kako zasad nema indicija "koje bi upućivale na potrebu za promjenom korisničkih zaporki". "Ako rezultati istrage pokažu da su potrebne dodatne sigurnosne mjere, korisnici će o njima biti pravodobno obaviješteni putem službenih komunikacijskih kanala. Prema trenutačno dostupnim informacijama, nema pokazatelja da je ugrožen rad CARNET-ovih usluga. Svjesni smo da je ova situacija izazvala zabrinutost među učenicima, roditeljima, nastavnicima i školama. Korisnike i cjelokupnu javnost pravodobno ćemo izvještavati o svim potvrđenim činjenicama putem CARNET-ovih službenih komunikacijskih kanala", navode.

Korisnički računi s domenom @skole.hr izrađuju se automatski prilikom upisa djeteta u prvi razred osnovne škole. Međutim, u praksi se ti računi za platforme poput Teamsa, Officea 365 i naprednijih školskih aplikacija češće počinju aktivno koristiti tek u višim razredima. Zbog toga se kao jedna od mogućnosti razmatra curenje iz sustava treće strane, odnosno aplikacije koja preuzima podatke o aktiviranim računima. Druga je mogućnost da je procurila starija sigurnosna kopija baze. Na to upućuje činjenica da broj od 563 tisuće zapisa znatno nadmašuje trenutačan broj aktivnih učenika u Hrvatskoj.

To znači da se u bazi, prema svemu sudeći, nalaze i podaci generacija koje su već napustile obrazovni sustav, dok učenici koji su nedavno krenuli u školu u njoj još nisu evidentirani. S obzirom na to da je riječ o osobnim podacima velikog broja maloljetnika, ovaj incident mogao bi se svrstati među najveće sigurnosne propuste povezane s hrvatskim javnim institucijama. Izloženost imena, prezimena i službenih školskih e-mail adresa djece stvara ozbiljan rizik od phishing napada, prijevara i drugih oblika zlouporabe. Službena reakcija Ministarstva znanosti i obrazovanja još se očekuje.