Для: учеников, родителей и учителей в Австралии и Новой Зеландии, которые используют (или использовали) платформу для изучения математики Mathspace, в том числе семей, переехавших из других стран, а также ИТ-сотрудников школ и всех, кто управляет образовательным сервисом.
Эта статья основана на официальной записи Mathspace в блоге и рекомендациях Управления австралийского комиссара по информации (OAIC) и Управления уполномоченного по конфиденциальности Новой Зеландии. Она не описывает методы атак.
Что делать родителям и ученикам
Не входите по ссылкам из сообщений, которые выдают себя за Mathspace или вашу школу
Mathspace предупреждает, что имена, адреса электронной почты и данные учётных записей делают попытки выдать себя за компанию более убедительными, и просит быть осторожными, даже если в сообщении упомянуты ваше имя или верно названа ваша школа либо этот инцидент. Чтобы проверить, откройте сайт или приложение Mathspace самостоятельно или используйте контакты, которые вы нашли отдельно на официальном сайте (основы: Что такое фишинг?).
Договоритесь с ребёнком: коды и пароли никому не передаются
Mathspace советует не сообщать пароли и коды подтверждения в ответ на любое сообщение и просит учеников, которые не уверены, что делать, спросить родителя, опекуна или учителя.
Дети склонны выполнять всё, что подаётся как «от учителя» или «про домашнее задание». Если англоязычные уведомления дома трудно понять, то одно правило, которое ребёнок твёрдо усвоит, уже закрывает большую часть риска.
Если вы использовали этот пароль и в другом месте, смените его там
Mathspace не требует сбрасывать пароль из-за этого инцидента, но если вы использовали пароль от Mathspace и на другом сервисе, смените этот пароль на уникальный.
OAIC также советует, когда раскрыты контактные данные, использовать надёжные пароли от электронной почты, которые нигде больше не применяются, и по возможности включать многофакторную аутентификацию (Выбор менеджера паролей).
Следите за письмами о сбросе пароля, которые вы не запрашивали
Mathspace просит обращать внимание на неожиданные письма о сбросе пароля и изменения данных учётной записи. Если вы заметили подозрительную активность, смените пароль и свяжитесь с компанией.
Для проверки напишите новое письмо на официальный адрес
Mathspace советует написать новое письмо на адрес data-breach-response@mathspace.co, а не отвечать на полученное сообщение, либо самостоятельно зайти на её сайт и воспользоваться каналами поддержки. Компания говорит, что бывшие или неактивные пользователи тоже могут быть затронуты, и они также могут обращаться.
Где получить помощь
OAIC указывает на Scamwatch, информационный сайт правительства Австралии о мошенничестве, где можно узнать, как распознавать мошеннические схемы.
Управление уполномоченного по конфиденциальности Новой Зеландии говорит, что за консультацией по киберпроблеме можно обратиться в NCSC, и указывает на службу поддержки IDCARE, если вы беспокоитесь о злоупотреблении личными данными. По вопросам безопасности детей в интернете сама Mathspace направляет семьи к eSafety Commissioner Австралии. Если вы чувствуете угрозу, обратитесь в полицию (111 в Новой Зеландии).
Что делать ИТ-сотрудникам школ
Запросите данные по своей школе
По словам Mathspace, администраторы школ могут написать на data-breach-response@mathspace.co, чтобы запросить число затронутых учеников, сотрудников и родителей или опекунов, связанных с их школой, или подробности затронутых записей. Если нужны отдельные записи, компания организует их безопасную передачу.
Школы также могут запросить отчёт об инциденте или результаты судебной экспертизы.
Учитывайте, что домен электронной почты может указать на вашу школу
Компания говорит, что раскрытые данные не включали записей, связывающих учётные записи пользователей со школами, но для школ с узнаваемыми доменами электронной почты такая связь может быть возможна. Ожидайте поддельных сообщений, в которых используется название вашей школы, и прямо объясните родителям, по каким каналам приходят официальные сообщения школы.
Направляйте рекомендации родителям через официальные каналы школы
Mathspace говорит, что сначала уведомила школы, чтобы они могли согласовать сообщения для своих сообществ. Передайте родителям факты (что было и что не было раскрыто) и шаги, описанные выше, через сайт школы или обычное приложение для родителей, и попросите проверять информацию через эти каналы, а не по ссылкам из уведомлений по электронной почте.
Что произошло (по данным Mathspace)
Всё ниже приведено так, как указано в официальной записи Mathspace в блоге (5 сентября 2026 года, обновлена 8 сентября). Даты приведены в том виде, в каком их называет компания.
6 августа 2026
Разработчик программы для отчётности, которую использовала Mathspace, публикует критическое уведомление о безопасности и исправленные версии. Mathspace говорит, что её процесс отслеживания уязвимостей не выявил уведомление и не передал его дальше.10 августа
Самый ранний несанкционированный доступ, выявленный в ходе расследования компании (восточное стандартное время Австралии).27 августа
Информация скачана из австралийской базы данных отчётности (подтверждено позже).29 августа
Mathspace обновляет программное обеспечение после того, как до неё доходит более позднее уведомление разработчика. Компания говорит, что на этом этапе не выполнила рекомендованные дополнительные проверки на компрометацию.3 сентября
Проверка журналов доступа за прошлый период подтверждает несанкционированный доступ до обновления. Система отчётности отключена от сети, её API-ключи отозваны, учётные записи доступа к базе отключены, пароли к базе изменены.4 сентября
Начинаются уведомления школьных контактов. Отправлены сообщения в OAIC, ACSC ASD, Управление уполномоченного по конфиденциальности Новой Зеландии и NCSC; уведомлены департаменты образования австралийских штатов и территорий.5 сентября
Публичное раскрытие информации в блоге компании.6 сентября
Начинаются уведомления отдельных людей (раньше, чем изначально сообщалось школам, — по просьбе школ).
- Похищенные данные
- ID пользователя, имя пользователя, имя и фамилия, адрес электронной почты, страна, часовой пояс, тип пользователя, статус подтверждения почты, дата последней активности, дата последнего входа, дата регистрации. Не каждое поле было у каждого человека
- Затронутые люди
- Ученики, родители или опекуны, учителя и сотрудники Mathspace. Бывшие или неактивные пользователи могут быть затронуты, если их данные сохранились в базе отчётности
- Не включено
- Пароли (хэши), токены аутентификации, учётные данные SSO, учётные данные API, академические записи, учебная активность, результаты, записи об оценивании и записи, связывающие учётные записи со школами
- Причина (по словам компании)
- Уязвимость в самостоятельно развёрнутой программе для внутренней отчётности, которая позволила получить права администратора без законного входа
- Неправомерное использование
- Пока нет свидетельств публикации, распространения, продажи или неправомерного использования. Личность злоумышленника неизвестна
- Сдерживание
- Система отчётности отключена; все её API-ключи отозваны; учётные записи доступа к платформе данных отключены; пароли к базе изменены
- Уведомления
- OAIC, ACSC ASD, Управление уполномоченного по конфиденциальности Новой Зеландии и NCSC, департаменты образования австралийских штатов и территорий
Примечание: мы не называем программный продукт
Mathspace назвала программу для отчётности, которую использовала. Мы не называем разработчика, так как он не является предметом этого инцидента, и упоминаем его только как «разработчик программы для отчётности». Урок для защиты одинаков для любого продукта. Разбивка общего числа по странам или типам пользователей не опубликована.
Мнение этого сайта: внутренние инструменты обновляют последними
Что здесь бросается в глаза: утечка произошла не из приложения, которым пользуются клиенты, а из внутреннего инструмента для просмотра цифр. Если расположить даты компании в ряд, и проникновение, и загрузка данных приходятся на период между публикацией исправления и его установкой.
6 авг.
Разработчик публикует исправление; внутренние оповещения его пропускают
10 авг.
Первый несанкционированный доступ
27 авг.
Данные скачаны
29 авг.
Обновлено; проверки на компрометацию не было
Работа без исправления: 6 авг. – 29 авг.
Исправлено, но не проверено: 29 авг. – 3 сент. (выявлено проверкой журналов)
Выводы: (1) назначить ответственного за уведомления о внутренних инструментах (2) после обновления проверить компрометацию начиная с даты уведомления
Внутренние инструменты, которые откладывают на потом
- Панели отчётности и аналитики, админ-панели, внутренние вики
- Установлены, потому что кому-то было удобно; нет понятного владельца
- Никто не подписан на уведомления безопасности разработчика
- Содержат учётную запись базы, которая может читать всё
Те же инструменты, но как рабочие системы
- Внесены в инвентаризацию с владельцем и известным уровнем доступа (только внутренний или доступный извне)
- Уведомления разработчика попадают к владельцу напрямую
- Критические уведомления устанавливаются к тому же сроку, что и для рабочих систем, затем проверяется компрометация
- Учётная запись базы только для чтения и ограничена нужными столбцами
Инструменты отчётности предназначены для сотрудников, которые смотрят на цифры, поэтому их легко считать чем-то отличным от рабочих систем. На практике они часто имеют учётные записи базы и API-ключи, которые напрямую ведут к платформе данных. В этом инциденте для сдерживания Mathspace отозвала все API-ключи инструмента отчётности и отключила учётные записи доступа к платформе данных.
Иными словами, любой инструмент, который может получить доступ к рабочим данным, нуждается в такой же защите, как рабочая система, каким бы внутренним ни выглядел его интерфейс. Вот четыре шага, которые организации могут сделать уже сегодня:
Составьте инвентаризацию программ, которые вы запускаете сами
Перечислите всё, что вы размещаете самостоятельно, включая отчётность, аналитику, мониторинг и внутренние вики, с указанием владельца и того, откуда к ним можно обратиться (только изнутри или также извне). Как составить список, см. Инвентаризация безопасности.
Направляйте уведомления каждого разработчика назначенному владельцу
Mathspace называет среди причин проблемы то, что процесс отслеживания уязвимостей не выявил уведомление. Для каждого пункта инвентаризации убедитесь, что уведомления разработчика о безопасности или о выпусках доходят до владельца. Чтобы решить, что устанавливать в первую очередь, см. CVSS, EPSS и KEV.
После обновления проверьте компрометацию начиная с даты уведомления
Mathspace говорит, что при обновлении не выполнила рекомендованные дополнительные проверки на компрометацию. Для критической уязвимости установка исправления — это ещё не финиш.
Выполните проверки, которые рекомендует разработчик, и просмотрите журналы доступа начиная с даты уведомления на предмет незнакомых учётных записей администратора, сеансов и массовых выгрузок (весь процесс: Как по-настоящему устранять CVE в зависимостях).
Сократите объём данных и привилегий, которые получает инструмент отчётности
Сделайте учётную запись базы инструмента отчётности только для чтения и ограничьте её представлениями, открывающими только нужные таблицы и столбцы.
Mathspace говорит, что данные людей, которые больше не пользуются сервисом, сохранялись в базе отчётности, поэтому они тоже были затронуты. Правило удаления или обезличивания персональных данных, которые отчётам больше не нужны, уменьшает то, что может утечь.
Мнение этого сайта: если вы храните данные детей, решайте, что оставлять, спрашивая, какой вред они могут нанести при утечке
Эти поля кажутся скромными рядом с оценками или домашними адресами. Но имя ребёнка и адрес его электронной почты, тип пользователя «ученик» и дата последнего входа достаточны, чтобы отправить детям, которые действительно пользуются сервисом, сообщение «ваше домашнее задание просрочено» или «ваша учётная запись будет заблокирована». Признание компании, что школу может быть возможно определить по домену электронной почты, основано на той же логике.
Операторам образовательных сервисов стоит спросить, действительно ли отчётам нужны имена и адреса электронной почты. Большинство отчётов работает только с внутренними идентификаторами.
Мы также писали об инциденте в сфере образования, при котором данные о записи на курсы и сообщения были похищены из системы управления обучением Canvas (Утечка данных Canvas (Instructure)).
В тот же период были получены данные о бронированиях в аэропортах Великобритании (Утечка данных Manchester Airports Group (MAG)).
Источники (открытые данные)
Факты в этой статье взяты из следующих открытых источников. Мы не повторяем предположения из прессы, неопубликованные разбивки или сведения о злоумышленниках.
- Mathspace, «Mathspace data breach: what happened and what affected users should know» (5 сентября 2026 года, обновлено 8 сентября) — blog.mathspace.co
- OAIC, «Respond to a data breach notification» — oaic.gov.au
- Управление уполномоченного по конфиденциальности Новой Зеландии, «My information was part of a privacy breach. What can I do?» — privacy.org.nz
- eSafety Commissioner (ресурс по безопасности детей в интернете, на который ссылается Mathspace) — esafety.gov.au
История обновлений
30.09.2026: первая версия, основанная на официальной записи Mathspace в блоге (обновление от 8 сентября) и рекомендациях для частных лиц от OAIC и Управления уполномоченного по конфиденциальности Новой Зеландии. Компания говорит, что сообщит об изменениях по итогам послеинцидентного анализа и о ходе их внедрения в своём блоге; мы обновим эту страницу, когда это произойдёт.
Читайте дальше
- Инцидент на образовательной платформе: Утечка данных Canvas (Instructure)
- Для организаций: Инвентаризация безопасности / Что устанавливать в первую очередь / Как по-настоящему устранять CVE в зависимостях
- Как распознать поддельные сообщения: Что такое фишинг? / Выбор менеджера паролей
- Утечка из того же периода: Утечка данных Manchester Airports Group (MAG)
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года