У сучасному світі, де інформація стає все більш цінною, безпека особистих даних виходить на перший план. Нещодавно виявлена уразливість на платформі Ravenna Hub, призначеній для запису дітей до шкіл, засвітила серйозні недоліки в забезпеченні конфіденційності користувачів. Після виявлення проблеми компанія-постачальник швидко виправила її, проте питання щодо контролю безпеки залишається відкритим.
Що таке Ravenna Hub
Ravenna Hub, що належить фірмі VenturEd Solutions, слугує платформою для тисяч родин, які подають заявки та відстежують статус навчання своїх дітей. Однак, внаслідок некоректної роботи системи, будь-який користувач, який увійшов у свій акаунт, міг отримати доступ до особистих даних інших користувачів. Це включало імена дітей, дати їх народження, адреси, зображення, а також інформацію про їх навчальні заклади. Зокрема, електронні адреси та номери телефонів батьків, а також дані про братів і сестер також стали доступними.
Фірма VenturEd Solutions, що базується у Флориді, відзначає, що її платформа обслуговує понад мільйон учнів та обробляє сотні тисяч заявок щороку. Технічну вразливість виявила команда TechCrunch, яка одразу повідомила про неї розробників. VenturEd швидко усунула цю помилку в той же день, хоча TechCrunch вирішила почекати з публікацією новини до підтвердження виправлення
Що відомо про уразливість
Генеральний директор VenturEd Solutions, Нік Лаірд, підтвердив у зверненні до редакції, що проблема була реплікована і виправлена. Проте він уникнув відповідей на питання про можливі наслідки інциденту, такі як звернення до користувачів або можливість перевірки, чи мали місце випадки несанкціонованого доступу до особистої інформації.
Говорячи про технічні деталі, уразливість відноситься до категорії інфраструктурних проблем, відомих як «неконтрольований прямий доступ до об’єктів», що дозволяє зловмисникам маніпулювати даними через слабкі або відсутні контрольні механізми. У випадку Ravenna Hub, система використовувала послідовні номери учнів, що означало: змінивши просту цифру в адресному рядку браузера, можна було отримати доступ до даних будь-якого іншого користувача.
Як наслідок, дослідження TechCrunch виявило, що сайт міг містити більше 1.63 мільйона записів, що становить серйозну загрозу для конфіденційності особистих даних дітей. Ця подія є тільки останнім прикладом загроз безпеки, які виникають через елементарні технічні недоліки. Наприклад, у січні цього року онлайн-сервіс UStrive також допустив викриття особистої інформації своїх користувачів, багато з яких є учнями.
Питання кібербезпеки, зокрема безпека особистих даних дітей, потребує постійної уваги та протидії з боку як постачальників послуг, так і самих користувачів. Тільки через прозорі механізми контролю та відповідальності можна забезпечити, щоб подібні інциденти не повторилися в майбутньому.
