Nagy a baj: Amatőr hiba miatt a teljes KRÉTA-t feltörhették, minden adat kikerülhetett

Egészen szürreális hibából adódóan néhány héttel ezelőtt sikeresen végződő adathalász támadás érte a Köznevelési Regisztrációs és Tanulmányi Alaprendszer, azaz a KRÉTA fejlesztőcégét, az eKRÉTA Informatikai Zrt.-t – írta meg a hírt közeli forrásaira hivatkozva a Telex.

A portál forrása azt állítja, hogy a támadás nyomán a hackerek a közoktatás minden intézményében kötelezően használt adminisztrációs rendszer adataihoz hozzáférést nyerhettek.

Ez azt jelenti, hogy nagy eséllyel minden egyes közoktatásban tanuló diák és tanár személyes adata illetéktelen kezekbe kerülhetett. Sőt, a Telex szerint nemcsak ezekhez, hanem a cég más adatbázisaihoz és a forráskódokhoz, illetve a fejlesztők belső kommunikációjához is hozzáférhettek.

A támadást a névtelenül az eKRÉTA Zrt.-n belülről is megerősítették, ahol azt is elmondták, hogy egy projektvezető kapott egy – sokak számára ismerős – átverős emailt, amelyben elhelyeztek egy rosszindulatú, adathalász linket. A vezető fejlesztő erre a linkre kattintott rá, majd az ő adatait felhasználva férhettek hozzá a belső adatbázishoz és rendszerhez.

A portál az illetékeseket és a potenciálisan érintett/érdekelt feleket is megkereste:

a KRÉTA felől nem érkezett hivatalos válasz,
a Nemzeti Infokommunikációs Szolgáltató Zrt. nem tudott válaszolni a kérdésekre,
az Oktatási Hivatal szerint ők szintén nem illetékesek a problémában
a Belügyminisztérium csak a Klebelsberg Központnak továbbította a megkeresést, ami egyelőre nem válaszolt,
az Országos Rendőr-főkapitányság pedig nem folytat büntetőeljárást a KRÉTA rendszerét ért adathalász támadásban.

A Telex megszólaltatta az ügyben a KRÉTA korábbi fejlesztési vezetőjét, Kovács Gábort is, aki abszolút elképzelhetőnek tartja, hogy ilyen módon hozzáférhettek a teljes rendszerhez. Sőt, a szakember szerint sokan nem is gondolnák, hogy az ilyen szenzitív adatokat a gyakorlatban hogyan hasznosíthatják a támadók:

„Hogy mást ne említsek, ilyen adatok: a diákok fogyatékosságai, magatartászavarai, amelyek minősített adatok; felmentések, igazolások, egészségügyi adatok; pedagógusok és más alkalmazottak HR-adatai; intézmények költségvetése, gazdálkodása; intézmények iktatott dokumentumai.” – sorolta Gábor. „Valaki ennek a birtokában kilistázhatja például az összes nehéz helyzetben élő, 10-12 éves kislányt, akinek a gondviselője 50 évnél idősebb nála (azaz valószínűleg nagyszülője, tehát részben árva), a lakcímét, illetve hogy mikor van testnevelésórája, melyik teremben.

Ha nagyon akarjuk, az egészségügyi modulban a gyerek súlya, magassága is benne lesz. És akkor most egy elég morbid irányt vett a példa, de remélem, ez érzékelteti a helyzetet” – mondta.

Egyelőre tehát nem tudni minden kétséget kizáróan, hogy mi és hogyan történhetett, hiszen a KRÉTA vezetése – egyelőre – mélyen hallgat, míg egyre több belsős fejlesztő kongatja a vészharangot. Remélhetőleg hamarosan többet is megtudunk az esetleges adatlopásról.