Feltörhették a KRÉTA-t, a diákok adatai is kiszivároghattak

Néhány héttel ezelőtt adathalász támadás érte a Köznevelési Regisztrációs és Tanulmányi Alaprendszer, azaz a KRÉTA fejlesztőcégét, az eKRÉTA Informatikai Zrt.-t. A támadás sikeres volt, így a támadó illetéktelen hozzáférést szerezhetett a közoktatás minden intézményében kötelezően használt adminisztrációs rendszer adataihoz – értesült a Telex a cégtől független forrásból. Az információkat névtelenül az eKRÉTA Zrt.-n belülről is megerősítették.

A lap megkereste a KRÉTA korábbi fejlesztési vezetőjét, Kovács Gábort, hogy segítsen megérteni a kockázatokat. Kovácsnak a konkrét esetről nincs tudomása, magát a rendszer felépítését és a fejlesztési folyamatot viszont ismeri. Először is arra voltunk kíváncsiak, hogy a rendszer működése valóban lehetővé teheti-e a forrásaink állításában is szereplő, kiterjedt hozzáférést:

„Technikailag megoldható, hiszen ha az adatok az adatbázisban titkosítva is vannak tárolva, ám megvan a megfelelő belépési azonosító, a jelszavakat kivéve a diákok adatait valóban meg lehet szerezni. Szóval igen, én reálisnak tartom.”

De vajon mi mindenhez férhetnek hozzá az illetéktelen behatolók, ha egy adathalász támadásban valóban megszereznek egy projektvezetői jelszót? „Sajnos nagyon sok mindenhez. A KRÉTA a diákok és a tanárok szinte minden adatát tartalmazza valamilyen moduljában, a taj-számok és más személyes adatok vagy a jegyek, intők a triviális kategória” – mondta Kovács Gábor, aki szerint ennél érzékenyebb adatok is elérhetők lehetnek ilyen módon.

„Hogy mást ne említsek, ilyen adatok: a diákok fogyatékosságai, magatartászavarai, amelyek minősített adatok; felmentések, igazolások, egészségügyi adatok; pedagógusok és más alkalmazottak HR-adatai; intézmények költségvetése, gazdálkodása; intézmények iktatott dokumentumai.”

Ami adatvédelmi szempontból különösen aggasztó lehet, hogy a fenti adatok alapján egészen részletekbe menő profil is alkotható lenne egy-egy diákról. „Valaki ennek a birtokában kilistázhatja például az összes nehéz helyzetben élő, 10-12 éves kislányt, akinek a gondviselője 50 évnél idősebb nála (azaz valószínűleg nagyszülője, tehát részben árva), a lakcímét, illetve hogy mikor van testnevelésórája, melyik teremben. Ha nagyon akarjuk, az egészségügyi modulban a gyerek súlya, magassága is benne lesz. És akkor most egy elég morbid irányt vett a példa, de remélem, ez érzékelteti a helyzetet” – mondta. További részletek a teljes cikkben