Уязвима аналитична система се превърна във вход към данните на ученици, родители и учители
Онлайн платформата за обучение по математика Mathspace разкри мащабен пробив, при който нападатели са получили достъп до информация за 1 079 819 ученици, родители, настойници и служители. Засегнати са потребители от Австралия и Нова Зеландия.
Атаката не е започнала от основната образователна платформа, а от вътрешната система за отчитане и анализи Metabase. Според компанията нападателите са използвали уязвимост в самостоятелно хоствана инсталация на софтуера, която им е позволила да получат административен достъп без легитимни идентификационни данни.
Достъпът е получен на 10 август, а данните са изтеглени от австралийската база на 27 август. Mathspace е потвърдила инцидента на 3 септември.
Данните за децата са ценна мишена
Компанията уверява, че пароли, токени за удостоверяване, SSO идентификационни данни, API ключове, оценки и учебна активност не са били компрометирани.
Това обаче не прави инцидента маловажен. Изтеклите лични данни могат да бъдат използвани за изграждане на убедителни фишинг кампании срещу ученици, родители и училищен персонал.
Особено чувствителен е контекстът. Когато нападателят знае името на ученик, неговия имейл и потенциалната връзка с конкретно училище, една измама може да изглежда като легитимно съобщение от образователна институция.
Metabase се превръща в повтарящ се проблем
Случаят с Mathspace е част от по-широка серия атаки срещу Metabase инсталации. Нападателите използват критична SQL инжекция с нулев ден, за да получат административен достъп и да извлекат информация от свързаните системи.
Това поставя неудобен въпрос пред организациите: колко добре са защитени системите, които не са основният им бизнес продукт, но имат достъп до неговите данни?
Инцидентът показва, че аналитичните и отчетните платформи не трябва да се третират като второстепенна инфраструктура. Ако съдържат чувствителни данни, те са пълноправна част от атакуемата повърхност.
За образователния сектор залогът е още по-висок – данните за децата не са просто записи в база данни. Те могат да се превърнат в инструмент за измама, социално инженерство и дългосрочно профилиране.
