Эксклюзив: стартап Edtech опубликовал данные о более чем 50 тысячах школьников, государственные чиновники
Опубликовано: 2020-03-14Данные включают медицинские записи, фотографии, сканы паспортов и более 50 тысяч школьников.
База данных была впервые обнаружена британским исследователем кибербезопасности Рони Суховски.
В условиях карантина из-за коронавируса многие школы отправляют уроки с помощью онлайн-платформ обучения.
В еще одном инциденте, который указывает на то, что индийские компании недостаточно серьезно относятся к конфиденциальности, основанная на Gurugram платформа управления онлайн-школами Skolaro обнародовала данные, принадлежащие более чем 50 тысячам учащихся, обучающихся примерно в 100 индийских школах, их родителям, а также учителям, после сохранения своей базы данных в незащищенные серверы.
База данных была впервые обнаружена британским исследователем кибербезопасности Рони Суховски, которая сказала, что она также содержит более 130 тысяч идентификаторов пользователей и паролей, которые лежат незащищенными в базе данных. Каждое из этих имен пользователей принадлежит текущему или бывшему пользователю платформы Skolaro, и Суховски сказал, что любой человек, обладающий базовыми знаниями в области веб-разработки, может легко просмотреть базу данных.
Inc42 может подтвердить, что база данных содержит имена пользователей, пароли, возраст, группу крови, религию, адрес, номер приема, название школы, дату рождения, оценки, изображение профиля и другие детали. Он также содержит историю болезни некоторых студентов, что делает его пригодным для кражи личных данных и других преступных действий.
«В базе данных доступны сотни фотографий одного студента. Я проверял случайным образом и почти каждый день видел фотографию ребенка, предающегося какой-то деятельности в каком-то детском саду», — сказал Суховски. Кроме того, были раскрыты личные данные учителей в школах-партнерах Skolaro, в том числе их зарплаты.
Исследователь сказал нам, что его предупредила о незащищенном сервере Skolaro служба кибербезопасности, которая сканирует Интернет, чтобы точно определить угрозы или уязвимые места в сетях и серверах. Он также пояснил, что некоторые базы данных остаются без пароля при миграции.
Данные государственных чиновников раскрыты
Inc42 провела независимую проверку незащищенной базы данных с помощью эксперта по кибербезопасности Раджшекара Раджахарии. Раджахария сказал, что размер базы данных составляет примерно 1,3 ГБ. Помимо студентов, в базе данных также были доступны личные данные, связанные с родителями и учителями, зарегистрированными на Skolaro.
Исследовательскому отделу DataLabs, Inc42 также удалось успешно загрузить данные, принадлежащие всем пользователям на сервере. Мы без труда смогли найти такую информацию, как имена, идентификаторы пользователей, пароли, идентификаторы электронной почты, номера телефонов, профессии, годовой доход, образовательные квалификации и другие детали. Кроме того, такие документы, как удостоверения личности избирателя, карты Aadhaar, паспорта, свидетельство о рождении и подтверждение проживания, также остались незащищенными в базе данных. DataLabs загрузила данные только для подтверждения базы данных.
Просочившиеся данные включают сведения о бывших правительственных чиновниках, в том числе о тех, кто до прошлого года работал на некоторых из самых высоких постов в центральном правительстве. В целях ответственного освещения Inc42 не может назвать этих должностных лиц.
Суховски сказал, что помимо сведений об индийцах, в базе данных также имеется около 90 отсканированных копий паспортов, принадлежащих жителям Великобритании. Всего в базе более 1300 сканов паспортов.
Рекомендуется для вас:
Как активное прислушивание к своим клиентам может помочь вашему стартапу расти
Как платформа агрегатора учетных записей RBI предназначена для преобразования финансовых технологий в Индии
Предприниматели не могут создавать устойчивые масштабируемые стартапы с помощью Jugaad: Cit...
Как Metaverse изменит индийскую автомобильную промышленность
Что означает положение о борьбе со спекуляцией для индийских стартапов?
Как стартапы Edtech помогают повысить квалификацию рабочей силы Индии и стать готовыми к будущему ...
Следует отметить, что в настоящее время нет никаких доказательств того, что эти данные были получены третьими лицами.
Суховски и Inc42 независимо друг от друга связались со Skolaro, чтобы сообщить о возможной утечке данных с его платформы. Шайлендра Сингх Нарука, разработчик программного обеспечения в Skolaro, заверил Суховски в электронном письме от 9 марта, что незащищенные серверы будут доведены до сведения высшего руководства. Однако до сих пор никаких действий предпринято не было.
Skolaro сообщил нам, что будет защищать базу данных, но не предпринял никаких шагов даже через три дня после того, как получил уведомление о взломе. Бездействие ставит под вопрос, насколько серьезно компания относится к своей ответственности перед пользователями, которые заплатили деньги и были уверены, что их данные и данные их уязвимых детей хранятся в безопасности.
Могут ли платформы Edtech обеспечить безопасность данных, поскольку коронавирус способствует внедрению?
Беспокоит то, что в связи с карантином по всему миру в ответ на пандемию коронавируса многие школы решили использовать системы управления онлайн-обучением или проводить уроки с помощью инструментов видеоконференцсвязи. На самом деле, согласно отчетам, Skolaro и другие подобные предложения набирают обороты во время этого кризиса.
Рахи Мукерджи, директор глобальной школы Utpal Shanghvi в Мумбаи, сообщил TOI на этой неделе, что школа использует Skolaro для отправки домашних заданий своим ученикам. «Ожидается, что учащиеся останутся дома, ожидая большого количества работы через Skolaro, наше программное обеспечение для управления школьной онлайн-информацией, чтобы они могли продолжать работать из дома и готовиться к предстоящим экзаменам», — сказала она.
Однако тот факт, что Skolaro сохраняет данные об этих домашних заданиях и учениках на незащищенных серверах, доступных в Интернете. Школы также полагаются на другие платформы образовательных технологий для связи со своими учениками в условиях вспышки коронавируса, и многие из них временно предлагают бесплатные услуги и продукты.
В связи с закрытием школ можно ожидать, что объем данных, связанных с успеваемостью учащихся, уроками и другой информацией, значительно возрастет в течение следующих нескольких месяцев во многих частях Индии в условиях пандемии коронавируса. Еще неизвестно, сколько из этих платформ относятся к этим конфиденциальным данным с уважением и безопасностью, которых они заслуживают.
За последние несколько лет в Индии увеличилось количество утечек данных. Согласно последнему отчету Совета по безопасности данных Индии (DSCI), Индия была названа второй страной, наиболее пострадавшей от кибератак в период с 2016 по 2018 год.
Например, в соответствии с законодательством США Skolaro должна была бы заплатить огромный штраф за каждый случай нарушения, а учитывая объем данных, которые были оставлены открытыми для каждого пользователя, компания могла бы даже столкнуться с семизначным штрафом или выше. Закон о защите конфиденциальности детей в Интернете (COPPA). В прошлом правоохранительные органы США наказывали Google и YouTube за несоблюдение COPPA, но такой закон обсуждался только в Индии. На данный момент законы о защите данных не распространяются на случаи незащищенного хранения данных несовершеннолетних.
На самом деле, без такого закона платформы, которые хранят данные незащищенным образом, могут даже не быть наказаны правительством, это остается на усмотрение самих пользователей, чьи данные были раскрыты, чтобы принять какие-либо юридические меры против таких утечек.