Рособрнадзор 16 октября приостановил федеральное исследование качества образования после кибератак на свои информационные ресурсы. Во время школьного анкетирования вместо очередных вопросов на экранах компьютеров появились сообщения экстремистского характера. Под угрозой оказался график проверок до конца октября.
Ведомство подтвердило, что кибератакам подверглись информационные ресурсы самого Рособрнадзора и подведомственного Федерального института оценки качества образования (ФИОКО). Из-за инцидента пришлось временно остановить национальные сопоставительные исследования (НСИ) в школах и учреждениях среднего профессионального образования. Масштаб технических повреждений пока не раскрывается.
Первыми тревогу подняли школьники из разных городов Московской области. Екатерина Мизулина 16 октября опубликовала жалобы учащихся, проходивших тестирование через портал Edutest. По их словам, при переходе к очередному вопросу на компьютерах появлялось одинаковое изображение с призывами присоединиться к антигосударственным действиям. На фотографиях из школьных классов посторонняя картинка видна сразу на нескольких мониторах.
По внешним признакам произошёл дефейс, то есть подмена обычного содержимого веб-страницы посторонним изображением или сообщением. В данном случае злоумышленники использовали образовательный сервис как площадку для распространения политических призывов. Однако по фотографиям нельзя установить, каким способом удалось вмешаться в работу системы и какие компоненты инфраструктуры пострадали.
Edutest используют для компьютерного анкетирования учащихся в рамках федеральной системы оценки качества образования. Доступ к материалам организуют через ГИС ФИС ОКО, которую сопровождает ФИОКО. Появление посторонней страницы во время опроса ещё не доказывает, что атакующие получили полный контроль над федеральной информационной системой, взломали школьные компьютеры или смогли прочитать сохранённые ответы участников.
Жалобы из нескольких городов Подмосковья указывают, что инцидент не ограничился одним учебным заведением. При этом сведений о появлении аналогичных изображений в других субъектах федерации пока нет. Сам Рособрнадзор сообщил о проблемах на компьютерах отдельных участников исследования, не уточнив ни количество затронутых школ, ни число учащихся, увидевших экстремистские сообщения.
Кибератака совпала с одним из самых массовых этапов проверки. На 15 и 16 октября было запланировано анкетирование всех девятиклассников в 29 регионах России. Исследование посвящено воспитательной работе школ, психологическому климату, безопасности образовательной среды и ценностным ориентирам подростков. Получается, что во время оценки школьной безопасности учащиеся столкнулись с посторонними политическими призывами непосредственно в системе тестирования.
Национальные исследования стартовали 12 октября и по первоначальному графику должны были завершиться 29 октября. На первом этапе, с 12 по 14 октября, планировалось обследовать около 66 тысяч учащихся из 507 школ. Следующие этапы назначили на 20, 22, 27 и 29 октября. В них должны были участвовать около 77 тысяч школьников и студентов из 498 образовательных организаций, включая 300 школ и 198 учреждений среднего профессионального образования.
Исследования проводят не ради выставления оценок отдельным ученикам. Рособрнадзор изучает воспитательную работу образовательных организаций и функциональную грамотность, включая способность применять математические, естественно-научные, читательские и финансовые знания в практических ситуациях. Результаты не влияют на школьные отметки и получение аттестата. При проведении исследований федеральный организатор не должен собирать персональные данные участников.
Приостановка затронула федеральную программу исследований в целом, хотя подтверждённые сообщения о подмене содержимого пока относятся только к Подмосковью. Рособрнадзор сообщил, что специалисты устраняют последствия кибератак и усиливают защиту информационных систем. Ведомство принесло извинения учащимся, родителям и педагогам. Новые даты проведения исследований обещали объявить дополнительно.
На опубликованных фотографиях присутствует символика проукраинского движения «Чёрная искра». Предположительно, именно с ним связана демонстрация посторонних изображений школьникам. Однако наличие логотипа не доказывает авторство кибератаки. Рособрнадзор не назвал конкретных злоумышленников, а независимого технического подтверждения причастности движения пока нет.
«Чёрная искра» уже фигурировала в сообщениях о кибератаках на российские организации. В августе движение объявило о взломе Microolap, разработчика платформы EtherSensor для анализа сетевого трафика. Представители движения утверждали, что получили доступ к внутренним системам компании, похитили данные крупных заказчиков и уничтожили часть информации. Однако представленные материалы не подтверждали весь заявленный масштаб происшествия.
Microolap признала факт киберинцидента, но оспорила заявления о компрометации основных производственных систем и клиентских данных. По версии разработчика, злоумышленники затронули несколько изолированных устаревших компонентов инфраструктуры, включая старый сайт и экземпляр CRM-системы. Таким образом, прежняя история показывает, насколько осторожно следует оценивать заявления движения о масштабах своих операций.
В случае с Рособрнадзором подтверждены кибератаки, появление посторонних сообщений во время анкетирования и приостановка федерального исследования. Но способ проникновения, точное количество затронутых компьютеров и возможный доступ к данным остаются неизвестными. Сведений о краже информации или компрометации других государственных образовательных сервисов ведомство не представило. Главным последствием пока стало нарушение запланированной процедуры проверки качества образования, сроки возобновления которой не определены.
