Количество утечек в образовательной сфере России выросло
Таковы результаты исследования экспертно-аналитического центра InfoWatch (АО "Инфовотч"). Центр исследовал случаи утечек конфиденциальной информации в вузах, колледжах, школах и других образовательных учреждениях.
Всего в мире в I полугодии 2025 г. аналитики зафиксировали 168 таких утечек персональных данных (ПДн). Это на 35,4% меньше, чем за аналогичный период 2024 г. (тогда их было 260). При этом объем украденных данных по миру вырос на 60,8% и превысил 65 млн (за аналогичный период 2024 г. - 40,6 млн).
"Более четверти утечек данных среди образовательных учреждений в I половине 2025 г. пришлись на США. В конце июля школы Мэрисвилля разослали письмо об утечке персональных данных учащихся и выпускников. Данные были украдены в ходе кибератаки, которая также привела к отмене занятий на один день", - сказано в сообщении InfoWatch.
В российских образовательных учреждений за этот период количество утечек увеличилось на 20% - с 15 до 18 инцидентов. Объем скомпрометированных персональных данных также возрос - с 1,4 млн в I полугодии 2024 г. до 1,7 млн в I полугодии 2025 г.
Рост может быть связан с массовой цифровизацией образования в России, и цифровизация во многих случаях опередила внедрение необходимых мер защиты. Так считает руководитель направления по работе с клиентами в финансовой отрасли АО "Актив-Софт" (Aktiv.Consulting) Дмитрий Башков.
"Количество атак на российскую инфраструктуру растет во всех отраслях. При этом важно помнить, что чем выше уровень цифровизации в компании или отрасли, тем больше она подвержена рискам информационной безопасности", - рассказал руководитель направления развития бизнеса ООО "Индид" Игорь Тюкачев.
Похищенные данные мошенники используют для разных целей. В частности, для схем с применением методов социальной инженерии. "Например, от лица классного руководителя или директора школы родителю приходит сообщение о том, что что-то случилось с ребенком и нужно срочно что-то сделать - пройти по ссылке, сообщить код. Это легкий способ с помощью психологического воздействия получить доступ к устройству, аккаунту в "Госуслугах", банковским счетам", - объяснила руководитель образовательных проектов Академии UserGate (ООО "Юзергейт") Ольга Михайлова.
В этом году в Анапе злоумышленник проник в школьный родительский чат и просил участников отправить ему 300 руб. на цветы учителю и подарки школьникам.
Руководитель отдела технического пресейла ООО "АйТи Таск" (IT Task) Михаил Тимаев рассказал, что мошенники могут использовать данные для создания фишинговых сайтов под видом учебных сервисов.
"Похищенная база может быть недешевым товаром в даркнете, особенно если хакеры обогатят ее дополнительными данными из других утечек", - рассказал генеральный директор АО "Инфозащита" (ITProtect) Андрей Мишуков.
Также, по словам Михаила Тимаева, интерес проявляют и хактивисты, так как большинство образовательных учреждений в России относятся к госсектору.
Дмитрий Башков рассказал, что ПДн учеников и сотрудников злоумышленники нередко используют для шантажа родителей или оформления кредитов и займов, так как кредитная история ребенка как правило чистая. При этом у студентов уже могут быть собственные финансы, поэтому злоумышленники используют их данные для кражи денег, рассказал Игорь Тюкачев.
Ольга Михайлова объяснила, что по законам образовательные учреждения обязаны собирать и хранить ПДн учащихся и родителей. При этом Андрей Мишуков заявил, что организация обязана обеспечить их сохранность - таковы требования законодательства, которое устанавливает ответственность оператора ПДн за их раскрытие и утечки. Но российская образовательная отрасль со времен пандемии показывает отставание в вопросах кибербезопасности.
"В 2020 г., когда школы и институты столкнулись с необходимостью быстро организовать удаленный формат, начались проблемы с безопасностью, доступом к закрытой информации, использованием незащищенных соединений. При этом сами сервисы для удаленного обучения могли быть безопасными, но пользователи (учителя, ученики, родители) часто "срезали углы": использовали слабые и повторяющиеся пароли, подключались к открытым сетям, забывали выйти из аккаунта на общественных компьютерах. Многие нынешние проблемы растут из наспех организованных процессов, непроверенных технических решений и низкой осведомленности об угрозах", - рассказал Андрей Мишуков.
Ольга Михайлова для минимизации рисков посоветовала пользователям устанавливать сложные пароли, повышать уровень осведомленности, развивать устойчивость к психологическому воздействию. Дмитрий Башков рассказал, что нужно придумывать сложные и уникальные пароли, не переходить по подозрительным ссылкам в письмах и сообщениях, не передавать логины, пароли и другие чувствительные данные, устанавливать и обновлять средства защиты. Игорь Тюкачев напомнил, что также следует использовать многофакторную аутентификацию, поставить запрет на совершение финансовых и других действий на "Госуслугах".
Однако, по словам Михаила Тимаева, осторожность пользователей в работе с почтой и мессенджерами хотя и снижает риски компрометации данных, но не защищает от утечки информации. Безопасность данных зависит в большей степени от образовательного учреждения и того, насколько защищена его инфраструктура.
