У липні 2026 року редакція AIN одержала анонімний лист на поштову скриньку з відомостями про ймовірний витік даних із системи «Єдина школа». Це українська цифрова освітня платформа, призначена для автоматизації навчального процесу та комунікації між школою, педагогами, батьками та учнями.
Ця платформа рекомендована Міністерством освіти і науки України та інтегрована з державною системою АІКОМ — Автоматизованим інформаційним комплексом освітнього менеджменту.
«Єдина школа» надає батькам та учням можливість доступу до електронного щоденника, розкладу занять, оцінок та домашніх завдань, а також забезпечує прямий зв’язок з учителями. Водночас для педагогів та адміністрації вона спрощує ведення шкільної документації, журналів та звітності, а також дає змогу проводити онлайн-уроки й тестування.
За інформацією з вебсайту, в системі зареєстровано 3,5 тисячі закладів, 89 тисяч учителів, 930 тисяч батьків і 1,2 мільйона учнів.
«У злитих таблицях містяться мільйони записів із персональними даними. Коли я почав глибше розбиратися, то випадково знайшов адмін-панель (CMS) їхнього головного інформаційного сайту (не самого електронного щоденника, а саме системи управління контентом). Заради цікавості спробував ввести найпростіший стандартний пароль admin / admin — і система без жодних засобів двофакторної автентифікації чи блокувань просто пустила мене всередину», — зазначалося в повідомленні, яке отримала наша редакція.
Публікація про можливий витік даних з’явилася також на форумі IT-спільноти DOU.
Щоб з’ясувати, чи міг відбутися настільки масштабний витік інформації з «Єдиної школи», які наслідки могла б мати така ситуація та як реагувати на подібні інциденти, AIN поспілкувався з Урядовою командою реагування на кіберінциденти в Україні CERT-UA, експертами з кібербезпеки та командою «Єдиної школи».
Про наслідки таких інцидентів та способи захисту в подібних ситуаціях — у цьому матеріалі.
«Я навмання ввів у поля логін admin і пароль admin. І мене пустило»
Згідно з наданими AIN матеріалами, які частково збігаються з публікацією на DOU, нібито стався витік бази даних за поточний 2026 рік з освітньої платформи «Єдина Школа» (eschool-ua.com, розробник — ТОВ «ТАТЛ ТЕХНОЛОДЖІ»).
Невідомо, хто і коли викачав цю базу. Як зазначає джерело, це міг бути як злам, так і витік зсередини через вразливість системи. За інформацією Андрія (так автор допису представився на форумі DOU), ці дані активно завантажуються в боти-агрегатори персональних даних у Telegram (переважно російські, які зараз популярні серед підлітків для взаємного деаноніму).
У базі нібито містяться повні прізвища, імена, по батькові учнів, їхні класи, дати народження, номери телефонів батьків, їхні повні імена, дані вчителів та точні домашні адреси проживання дітей.
Крім того, Андрій нібито виявив ще одну вразливість на сайті «Єдиної школи» — через внутрішній піддомен content-admin-panel.
«Мені стало цікаво, я прибрав шлях до файлу і просто відкрив цей піддомен. Переді мною з’явилося вікно авторизації в адмін-панель (CMS). Я навмання ввів у поля логін admin і пароль admin. І мене просто пустило всередину! Без жодного підтвердження чи двофакторної автентифікації! Система, яка має сертифікати КСЗІ та рекомендована МОН, тримає головну адмінку з паролем “admin”!” — пише хлопець у листі до AIN.
Скриншоти в галереї з топіку на DOU
Скриншоти в галереї з топіку на DOU
Скриншоти в галереї з топіку на DOU
За його словами, він зайшов, зафіксував вразливість, зробив запис екрана як доказ і одразу вийшов.
Редакція намагалася зв’язатися з автором для перевірки інформації, однак не отримала відповіді. Водночас ми звернулися до розробників «Єдиної школи» та відповідних органів, що розслідують такі кіберінциденти.
«Інформаційний вкид, зроблений з невідомих мотивів». Реакція «Єдиної школи»
Олексій Кошевець, один з авторів проєкту «Єдина школа» та власник компанії «Татл Технолоджі», яка володіє однойменною торговою маркою, у коментарі AIN не підтвердив витік даних. Такі повідомлення він назвав «інформаційним вкидом, зробленим з невідомих нам мотивів».
«Попри це, ми поставилися до ситуації максимально серйозно та провели додаткову внутрішню перевірку всієї системи. Інформація не містить підтверджених технічних доказів витоку: відсутнє верифіковане джерело отримання даних, технічні логи, а також підтверджені записи, які можна було б однозначно ідентифікувати як дані з нашої продукційної бази. Більшість ключових полів на скріншотах замасковані, тому перевірити їх походження технічно неможливо», — зазначив Кошевець.
Компанія перевірила продукційні бази даних, API, журнали доступу, файлове сховище, резервні копії, адміністративні доступи та пов’язані сервіси. Ознак несанкціонованого доступу чи масового експорту даних, як стверджують їхні представники, не виявлено.
Про ситуацію також було повідомлено відповідні державні органи у сфері кіберзахисту, зокрема урядову команду з реагування на кіберінциденти в Україні CERT-UA.
За попередньою комунікацією з їхнього боку, ознак витоку даних, як зазначив Олексій Кошевець, немає, як і компрометації продукційної системи чи наявності критичних вразливостей. «Наразі ми очікуємо офіційний письмовий висновок за результатами перевірки», — підсумував автор проєкту «Єдина школа».
У відповідь на запит AIN, CERT-UA повідомила: «Проблема, яка була описана в публікації на порталі DOU щодо платформи “Єдина Школа”, наразі усунена». Щодо підтвердження факту витоку чи оцінки потенційних наслідків, команда з реагування на кіберінциденти в Україні утрималася від коментарів.
«Розширений цифровий профіль родини». Чим небезпечні такі витоки даних
Якщо витік буде підтверджено, зазначив Максим Делембовський, завідувач кафедри кібербезпеки та комп’ютерної інженерії КНУБА, кандидат технічних наук, найбільший ризик полягає в тому, що відомості про учня, батьків, навчальний заклад, клас, контактні дані та облікові записи разом можуть сформувати розширений цифровий профіль родини.
Основними наслідками можуть бути:
Фішинг і цільова соціальна інженерія. Зловмисник може звертатися до батьків від імені школи, класного керівника, адміністрації платформи або освітніх органів. Наявність реальних прізвищ, номерів телефонів, назв навчальних закладів і класів робить такі повідомлення значно переконливішими.Захоплення облікових записів. Якщо разом із персональними даними були скомпрометовані паролі, їхні хеші, токени авторизації або відповіді для відновлення доступу, можливе захоплення акаунтів. Особливо небезпечним є повторне використання одного пароля в різних сервісах.Деанонімізація та встановлення зв’язків між людьми. Навіть окремі відомості можуть бути поєднані з даними з відкритих джерел або попередніх витоків. У результаті можна встановити зв’язок “дитина — батьки — школа — місце проживання — контактні дані”.Шахрайство. Дані можуть бути використані для повідомлень про нібито оплату освітніх послуг, збір коштів, необхідність підтвердження акаунту, отримання допомоги або термінове оформлення документів.Репутаційні та організаційні наслідки. Інцидент може призвести до втрати довіри батьків, педагогів і навчальних закладів, відмови від використання сервісу, додаткових витрат на аудит, модернізацію, юридичний супровід і підтримку користувачів.
У контексті правових наслідків експерт згадав Закон України “Про захист персональних даних”. Згідно з цим документом, володілець даних зобов’язаний забезпечувати їх захист від незаконної обробки, несанкціонованого доступу та випадкової втрати.
Конкретний розподіл відповідальності між оператором платформи, навчальними закладами та іншими сторонами залежить від укладених договорів та від того, хто є володільцем і розпорядником відповідних наборів даних.
«Дані можуть залишатися у приватних архівах, ботах, каналах або повторно публікуватися»
Максим Делембовський описав кілька етапів усунення проблеми витоку даних. Серед них:
зміна конфігурації, паролів, програмного коду, правил доступу або іншої технічної причини витоку;блокування скомпрометованих облікових записів, токенів, серверів, API та припинення подальшого витоку;визначення масштабу компрометації, інформування користувачів, зміна облікових даних, моніторинг зловживань та довгострокове відновлення довіри.
«Перші два завдання виконати реально. Однак дані, які вже були скопійовані сторонніми особами, неможливо гарантовано повернути або видалити з усіх зовнішніх ресурсів. Вони можуть залишатися в приватних архівах, ботах, каналах або повторно з’являтися», — зауважив Делембовський.
«Публічної заяви “проблему усунено” недостатньо»
Окрім закриття вразливих інтерфейсів, зміни всіх паролів, ключів API, токенів та налаштування багатофакторної автентифікації, важливо зберегти журнали подій та цифрові докази.
«Поспішне видалення серверів, логів або облікових записів може унеможливити встановлення початкової точки компрометації», — пояснив Делембовський.
Необхідно провести незалежну цифрову криміналістичну експертизу та визначити, серед іншого: коли відбулося первинне проникнення, який саме компонент був скомпрометований, чи була CMS пов’язана з основною інформаційною системою, які дані переглядалися або вивантажувалися та за який період.
Доцільно залучити CERT-UA, правоохоронні органи (у разі ознак правопорушення), фахівців із захисту персональних даних та незалежну аудиторську команду. А також проінформувати клієнтів своєї системи.
Якщо ви як користувач дізналися про ймовірний витік даних з бази, що містила інформацію про вас, рекомендується:
змінити пароль до платформи;змінити такий самий пароль в інших сервісах;не переходити за посиланнями з неперевірених повідомлень;перевіряти запити про оплату або передачу документів через офіційні контакти організації, у якої міг статися такий витік;увімкнути багатофакторну автентифікацію на платформі, якщо вона доступна.
За офіційними даними Держспецзв’язку, в Україні у 2025 році було зафіксовано 5927 кіберінцидентів. Це включає поширення шкідливого програмного забезпечення, фішинг, компрометацію облікових записів, втручання в інформаційні системи, кібершпигунство, порушення доступності ресурсів.
У першому півріччі 2026 року виявлено 3309 інцидентів. Дедалі частіше у таких атаках зловмисники використовують штучний інтелект, “який суттєво знижує поріг входу для зловмисників і робить фішингові та шкідливі кампанії масштабнішими та переконливішими”.
Водночас слід розуміти, що дані CERT-UA охоплюють лише оброблені та зафіксовані інциденти, а не всі фактичні випадки в Україні. Деякі організації можуть виявити компрометацію із запізненням або не повідомити про це команду реагування.
«Система повинна збирати лише ті відомості, які справді потрібні для надання освітньої послуги». Як уникнути таких інцидентів у майбутньому
Щоб запобігати інцидентам, пов’язаним з витоками даних із систем, необхідно дотримуватися низки правил. Наприклад, для всіх адміністративних облікових записів мають бути обов’язковими унікальні паролі, багатофакторна автентифікація, автоматичне блокування або затримка після повторних невдалих спроб входу.
Інформаційний сайт, CMS, електронний журнал, база персональних даних, резервні копії та адміністративні інструменти не повинні перебувати в одному неконтрольованому контурі. Компрометація публічного вебсайту не повинна автоматично надавати доступ до освітніх даних.
«Система повинна збирати лише ті відомості, які дійсно необхідні для надання освітньої послуги. Необхідно встановити терміни зберігання та безпечно видаляти застарілі записи. Чим менший обсяг даних накопичено, тим менші потенційні наслідки компрометації», — зазначив Делембовський.
Також потрібні контроль авторизації для кожного запиту, обмеження масового вивантаження, шифрування даних під час передавання та зберігання, ротація ключів і токенів, обмеження швидкості звернень, заборона прямого доступу до бази з інтернету.
До життєвого циклу програмного забезпечення варто включити аналіз загроз на етапі проєктування, перевірку коду, сканування залежностей, тестування конфігурацій, регулярне тестування на проникнення, усунення вразливостей до випуску оновлень, окремі тестові середовища без реальних персональних даних.
