Újabb botrány a KRÉTA körül, most a jelszavakat lophattak el

Adatvédelmi incidensre, illetéktelenek esetleges belépési kísérleteire figyelmeztető üzeneteket kapott sok szülő a KRÉTA nevű közoktatási informatikai rendszerben – számolt be pénteken a Telex. A rendszer fejlesztője, az Educational Development Informatikai Zrt. (EduDev) értesítette az érintett iskolákat, hogy a Nemzeti Kibervédelmi Intézet (NKI) vizsgálata szerint KRÉTA-s felhasználónevek és jelszavak lehetnek elérhetőek a lopott adatok terjesztésére előszeretettel használt darkweben .

Ezért az érintetteknek, az iskoláknak, a diákoknak és a szülőknek mielőbbi jelszócserét, a szerkeszthető fiókadatok, például a megadott bankszámlaszám ellenőrzését, illetve a biztonságosabb bejelentkezés érdekében a kéttényezős hitelesítés beállítását javasolják. A rendszerüzenet a felhasználók megnyugtatására írhatta, hogy „az adatvédelmi incidensben való érintettség nem azt jelenti, hogy feltörték a fiókját, hanem az elkövetők megpróbálhatnak belépni a nevében”.

A portál információja szerint az incidens még húsvét előtt történhetett, már egy héttel ezelőtt keresték az ügyben az EduDevet, az NKI-t, illetve a tankerületeket összefogó Klebelsberg Központot, valamint a szakképzési centrumokat fenntartó Nemzeti Szakképzési és Felnőttképzési Hivatalt. Péntekig egyik szervezettől sem kaptak választ, de úgy tudják, az adatvédelmi incidensről az érintett szervezetek a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH) is bejelentést tettek.

A jelszólopás gyakori támadási forma, a csaknem 3,5 millió felhasználóval rendelkező KRÉTA körül pedig nem is ez az első botrány. Pont egy héttel ezelőtt Orbán Viktor miniszterelnök a KRÉTA-n keresztül büszkélkedett az új tömegközlekedési tarifarendszerrel a szülőknek, legutóbb a karácsony előtti napokban küldött levelet a KRÉTA-n keresztül azoknak a szülőknek, akiknek a gyereke ingyenes laptopot kapott.

Februárban mi is beszámoltunk arról, hogy több mint száz millió forintos bírságot kapott a KRÉTA fejlesztője, amiért korábban, még 2022-ben feltörték a rendszerét, és több mint húszezer ember személyes adatai egészen biztosan illetéktelen kezekbe kerültek. A NAIH szerint a cégnél eleve nem alkalmaztak alapvető és elvárható technológiai megoldásokat, majd az incidens megtörténte után nem kielégítő módon kezelték azt, és a sorozatos mulasztások vezettek az ügy eszkalálódásához. Azt megelőzően még 2021-ben is kibertámadás érte a KRÉTA-t.