Статья была написана мной, но прогнана через ИИ

Приемная кампания в российских колледжах и вузах сопровождается публикацией обширных массивов данных на официальных сайтах. С одной стороны, это требование прозрачности процедуры зачисления. С другой стороны, существующий подход к обезличиванию информации содержит системную уязвимость, которая позволяет стороннему наблюдателю с высокой точностью сопоставить ФИО абитуриента с его номером СНИЛС.

Я провел анализ открытых источников 100 учебных заведений (вузы и колледжи) и выяснил, что 87 из них оставляют возможность такой деанонимизации. Причем данные за предыдущие годы остаются в открытом доступе, формируя устойчивый архив персональной информации.

Проблема публичного идентификатора

Подавляющее большинство учебных заведений размещает конкурсные списки в формате, где для идентификации абитуриента используется не случайный код, а его номер СНИЛС. Обоснование у разработчиков таких систем прагматичное: СНИЛС уникален, абитуриент знает его наизусть, поиск по списку упрощается.

Однако СНИЛС — это не просто номер. Это ключевой идентификатор гражданина в системе межведомственного взаимодействия. В связке с фамилией и инициалами он позволяет:

• Участвовать в схемах социальной инженерии, где знание СНИЛС создает видимость легитимности звонящего;

• Формировать целевые фишинговые кампании.

Формально вузы и колледжи не нарушают 152-ФЗ, так как полные ФИО в конкурсных списках отсутствуют. Но это формальное соответствие создает иллюзию безопасности там, где ее нет.

Приказы о зачислении как недостающее звено

Ключевая уязвимость раскрывается в момент публикации приказов о зачислении. Это отдельные документы (как правило, в формате PDF), которые размещаются в том же разделе сайта или по соседней ссылке.

Структура приказа о зачислении принципиально иная: в нем указываются полные фамилия, имя и отчество каждого зачисленного абитуриента. Номера СНИЛС в приказах обычно отсутствуют.

Однако, сопоставив два документа, можно восстановить полное соответствие:

1. Конкурсный список (август): строка «123-456-789 00 первое место, подал оригиниал».

2. Приказ о зачислении (сентябрь): строка «Иванов Иван Иванович» на той же позиции.

Для такого сопоставления не требуется специальных навыков или инструментов. Достаточно открыть два файла и выполнить визуальный поиск. Злоумышленник может автоматизировать этот процесс с помощью простых парсеров, собрав базу данных из тысяч строк «ФИО — СНИЛС» за короткое время.

Архивы: данные остаются в открытом доступе годами

Еще одна особенность, усиливающая риски, — отсутствие политики удаления или архивации данных. На сайтах учебных заведений в разделах «Приемная комиссия» за 2023, 2022, 2021 годы и ранее продолжают храниться полные конкурсные списки и приказы о зачислении.

Таким образом, в публичном поле постоянно находятся персональные данные граждан, которые:

• уже завершили обучение;

• сменили фамилию;

• никогда не давали согласия на бессрочное хранение своих данных в открытом виде.

Поисковые системы индексируют эти документы, что делает их доступными по прямым запросам (например, «СНИЛС site:вуз.рф»).

Почему это происходит

С точки зрения организации процесса, причина кроется в устаревших подходах к проектированию информационных систем приемных комиссий. Большинство учреждений используют типовые решения (например, на базе «1С:Университет» или старые самописные CMS), где:

• В качестве публичного идентификатора по умолчанию заложен СНИЛС;СНИЛС

• Отсутствует разделение между данными для внутреннего учета и данными для публичного отображения;

• Нет регламента по удалению или скрытию данных по окончании приемной кампании.

Разработчики руководствуются принципом «так исторически сложилось», а приемные комиссии не видят в этом проблемы, поскольку формально закон не нарушен.

Предлагаемое решение

Ситуация не требует кардинальной перестройки IT-инфраструктуры или значительных бюджетов. Достаточно внедрить ряд организационных и технических изменений, которые уже стали стандартом в тех учебных заведениях, которые вошли в оставшиеся 13% моего исследования.

1. Генерация случайных идентификаторов
   Вместо СНИЛС в публичных конкурсных списках следует использовать случайно генерируемый код (UUID или короткий буквенно-цифровой набор). Абитуриент получает этот код в личном кабинете и использует его для поиска себя в списке. Для внешнего наблюдателя код не несет никакой смысловой нагрузки и не привязан к персональным данным.

2. Разделение публикации приказов о зачислении
   Приказы о зачислении должны публиковаться в формате, исключающем возможность сопоставления с конкурсными списками. Оптимальный вариант:

3. Регламентация хранения архивных данных По окончании приемной кампании данные должны либо удаляться из публичного доступа, либо переводиться в режим, исключающий индексацию поисковыми системами и автоматический сбор. Если архив необходимо сохранить для отчетности, он должен быть размещен в закрытом контуре.

Заключение

Проблема, выявленная в ходе анализа, не является следствием злого умысла или грубой халатности. Это системный эффект устаревших подходов к публикации данных, которые перестали соответствовать современным представлениям о безопасности персональной информации.

87% учебных заведений продолжают использовать СНИЛС в качестве публичного идентификатора, оставляя возможность сопоставления через открытые приказы о зачислении. Данные прошлых лет остаются доступными, формируя открытые базы, которые могут быть использованы как для целевых атак, так и для массового сбора.

Переход на случайные идентификаторы, разделение публикации приказов и регламентация хранения архивов не требуют значительных затрат, но существенно снижают риски для персональных данных сотен тысяч абитуриентов и студентов. Это вопрос не столько технической сложности, сколько внимания к деталям при проектировании публичных сервисов.