Недоглеждане разкри данните на милиони индийски ученици

Пропуск в сигурността на софтуерен продукт, управляван от Министерството на образованието на Индия, е разкривало лична информация на милиони ученици и преподаватели в продължение на повече от година, съобщава Wired. Данните са били съхранявани от приложението Digital Infrastructure for Knowledge Sharing (Diksha), стартирано през 2017 г. В разгара на пандемията правителството, както много други, се е оказа принудено да затвори училища в цялата страна и Diksha се е превърнало в основен образователен инструмент, давайки на учениците достъп до учебни материали и курсови работи.

Облачен сървър, на който са били съхранявани данните на приложението обаче е бил незащитен от хакери, измамници и на практика всеки, който е знаел къде да търси.

Файловете, съхранявани на незащитения сървър, са съдържали пълните имена, телефонни номера и имейл адреси на повече от 1 милион преподаватели. Според Wired те са работили за стотици хиляди училища във всеки щат на Индия. Друг файл пък е съдържал информация за близо 600 000 ученици. Въпреки че имейл адресите и телефонните номера са били частично скрити, данните са включвали още техните пълни имена, както и информация за това кое учебно заведение са посещавали, какви курсове са посещавали чрез приложението и каква част от тях са завършили.

Според британски изследовател, идентифицирал проблема през юни 2022 г., на сървъра е имало хиляди файлове като споменатите. (Той поиска да не бъде назоваван, защото не е упълномощен да говори с медиите.) Той е изпратил сигнал на имейла за поддръжка на Diksha, предупреждавайки разработчиците, идентифицирайки източника и предлагайки да сподели повече информация. Отговор обаче не е последвал. По думите му шансът данните да не са вече свалени от други хора е нулев.

От Wired пишат, че за изпратили запитване до индийското министерство на образованието. Отговор не е последвал. Незащитеният сървър е бил изключен едва след като са се свързли представител на разрабочтика на приложението - EkStep.

Допълва се, че това не е първият случай на проблем в Diksha, свързан с чувствителна информация. Доклад от 2022 г. на Human Rights Watch е установи, че софтуерът не само е следил местоположението на учениците, но е и споделял данните с Google. В много случаи индийското правителство пък е принуждавало учителите и учениците да използват приложението.

Незащитеният сървър за съхранение е бил хостван в Azure, облачната услуга за съхранение на Microsoft. Google е индексирал повече от 100 файла от този сървър още през октомври 2018 г. С други думи, информацията, съхранявана там е била откриваема чрез просто търсене в Google в продължение на поне четири години.

Междувременно в Идия съществува процъфтяващ пазар за такива данни. През 2020 г. изследователи по сигурността в индийската компания CloudSEK откриха, че лична идентифицираща информация на стотици хиляди студенти, положили изпита Common Aptitude Test Exam в страната, се продава във форум за изтекли данни. Година по-късно India Times съобщи, че поверителни данни на милиони студенти се продават на уебсайт, наречен studentdatabase.in.