Nowe informacje po włamaniu do e-dziennika w Otwocku. Szkoła i Librus komentują sprawę

W niedzielę, 18 stycznia, doszło do włamania na konto jednego z nauczycieli w e-dzienniku Librus w Zespole Szkół Ekonomiczno-Gastronomicznym w Otwocku. W systemie masowo pojawiły się jedynki jako oceny śródroczne z kilku przedmiotów, a dodatkowo rozsyłano wiadomości o wulgarnych treściach. – Nasza córka nagle dostała jedynkę z jednego z przedmiotów. – mówi „Przeglądowi” jeden z rodziców.

Seria jedynek w kilku klasach

Jak tłumaczy w rozmowie z „Przeglądem” wicedyrektorka szkoły Beata Ćwiek, ktoś włamał się na konto nauczyciela, który prowadzi kilka klas i w czasie ferii nie logował się do systemu. – Sprawca lub sprawcy masowo wpisali jedynki. Pojawiły się one u większości uczniów tych klas z różnych przedmiotów, co w praktyce oznaczało, że dotyczyły dużej części uczniów naszej szkoły – mówi Beata Ćwiek. – Poza jedynkami i wulgarnymi wiadomościami sprawcy wysyłali również treści podszywające się pod nauczyciela, zawierające negatywne uwagi – mówi wicedyrektorka ZSEG w Otwocku. I dodaje, że szkoła od razu podjęła działania. 

Szybka reakcja 

– Zablokowaliśmy dostęp do konta, zabezpieczyliśmy system i skontaktowaliśmy się z „superadministratorem” e-dziennika. O zdarzeniu powiadomiliśmy również policję – mówi wicedyrektorka Beata Ćwiek. Dodaje, że szkoła od razu poinformowała o incydencie uczniów i rodziców. Po zabezpieczeniu systemu rozpoczęto także analizę logowań. – Zidentyfikowaliśmy także kilka adresów IP, z których mogło dojść do nieautoryzowanego logowania. Teraz policja będzie ustalać, kto stał za tym działaniem – podkreśla wicedyrektorka „Ekonomika”. Zapewnia też, że uczniowie nie powinni obawiać się konsekwencji fałszywych ocen. – W najbliższych dniach jedynki zostaną usunięte z systemu. E-dziennik zostanie przywrócony do stanu sprzed incydentu – mówi wicedyrektorka ZSEG w Otwocku. 

Nowe zalecenia Librusa dla użytkowników

Beata Ćwiek wyjaśnia również, że do tej pory nauczyciele nie mieli obowiązku stosowania uwierzytelniania dwuskładnikowego przy logowaniu do e-dziennika, ale część z nich korzystała z tego zabezpieczenia. Po incydencie szkoła poinformowała jednak kadrę o konieczności zmiany haseł oraz włączenia dodatkowego zabezpieczenia logowania. Ponadto Librus powiadomił już użytkowników o zmianach w zasadach bezpieczeństwa i zalecił stosowanie silnych, 14-znakowych haseł.

MEN zapowiada państwowy e-dziennik

Ministerstwo Edukacji Narodowej potwierdziło, że w Polsce odnotowano trzy podobne incydenty związane z włamaniami do e-dzienników. Minister edukacji Barbara Nowacka zapowiedziała, że resorty edukacji i cyfryzacji pracują nad stworzeniem centralnego, państwowego dziennika elektronicznego. Jak poinformowała, pierwsza faza wdrożenia systemu ma nastąpić we wrześniu 2027 r. – wtedy użytkownicy mają uzyskać dostęp do przynajmniej części jego funkcji. Logowanie do nowego e-dziennika ma odbywać się za pośrednictwem np. aplikacji mObywatel.

Jednocześnie minister zaznaczyła, że obecnie funkcjonujące e-dzienniki są narzędziami komercyjnymi, i resort nie odpowiada bezpośrednio za ich tworzenie ani przechowywanie danych. Z kolei firma Librus podkreśla, że w przypadku zdarzeń takich jak szkole w Otwocku nie doszło do ataku na sam system, lecz do przejęcia danych logowania do kont użytkowników.

List do minister Nowackiej

Dzisiaj Marcin Kempka, prezes spółki Librus, przesłał list otwarty do minister edukacji Barbary Nowackiej. Podkreślił w nim, że w opisywanych przypadkach „nie doszło do przełamania zabezpieczeń systemu”, a problem dotyczył „przejęcia konta nauczyciela i wykorzystania go do działań w dzienniku elektronicznym konkretnej szkoły”. Firma zwraca uwagę, że takie incydenty najczęściej wynikają z przechwycenia loginu i hasła, a nie z luk w samym oprogramowaniu. Jak zaznacza Librus, przejęcia danych uwierzytelniających to dziś „jeden z najczęstszych problemów cyberbezpieczeństwa” i mogą dotyczyć szkół niezależnie od tego, czy korzystają z systemu komercyjnego, czy w przyszłości miałyby przejść na rozwiązanie państwowe.

Zdaniem prezesa spółki kluczowym rozwiązaniem, które mogłoby ograniczyć podobne zdarzenia, jest powszechne stosowanie uwierzytelniania dwuskładnikowego (2FA) przez pracowników szkół. Librus podaje, że obecnie z tego zabezpieczenia korzysta jedynie „18,63%” nauczycieli, co oznacza, że zdecydowana większość kont nie wymaga drugiego składnika logowania i jest bardziej narażona na przejęcie.

Firma podkreśla, że 2FA jest dziś rynkowym standardem podnoszenia bezpieczeństwa, jednak wiele placówek wciąż go nie wdraża, m.in. z powodu braku jednoznacznych wymogów prawnych i wsparcia organizacyjnego. W liście Librus wskazuje, że takie regulacje mogłyby zostać wprowadzone już teraz – bez czekania na uruchomienie państwowego e-dziennika w 2027 roku. Jak podkreślono w liście: , „tak długo jak bezpieczeństwo korzystania z dzienników elektronicznych przez pracowników szkół będzie w przepisach oświatowych pomijane, a tym samym ‘nieobowiązkowe’, tak długo takie sytuacje będą się powtarzać”.

Librus zapewnia jednocześnie, że bezpieczeństwo danych uczniów, rodziców i nauczycieli jest dla firmy priorytetem. Spółka deklaruje, że od lat udostępnia szkołom narzędzia takie jak 2FA, inwestuje w zabezpieczenia techniczne i monitoring oraz prowadzi szkolenia i działania edukacyjne.

Czytaj także: