Статья была написана мной, но прогнана через ИИ
Приемная кампания в российских колледжах и вузах сопровождается публикацией обширных массивов данных на официальных сайтах. С одной стороны, это требование прозрачности процедуры зачисления. С другой стороны, существующий подход к обезличиванию информации содержит системную уязвимость, которая позволяет стороннему наблюдателю с высокой точностью сопоставить ФИО абитуриента с его номером СНИЛС.
Я провел анализ открытых источников 100 учебных заведений (вузы и колледжи) и выяснил, что 87 из них оставляют возможность такой деанонимизации. Причем данные за предыдущие годы остаются в открытом доступе, формируя устойчивый архив персональной информации.
Проблема публичного идентификатора
Подавляющее большинство учебных заведений размещает конкурсные списки в формате, где для идентификации абитуриента используется не случайный код, а его номер СНИЛС. Обоснование у разработчиков таких систем прагматичное: СНИЛС уникален, абитуриент знает его наизусть, поиск по списку упрощается.
Однако СНИЛС — это не просто номер. Это ключевой идентификатор гражданина в системе межведомственного взаимодействия. В связке с фамилией и инициалами он позволяет:
Участвовать в схемах социальной инженерии, где знание СНИЛС создает видимость легитимности звонящего;
Формировать целевые фишинговые кампании.
Формально вузы и колледжи не нарушают 152-ФЗ, так как полные ФИО в конкурсных списках отсутствуют. Но это формальное соответствие создает иллюзию безопасности там, где ее нет.
Приказы о зачислении как недостающее звено
Ключевая уязвимость раскрывается в момент публикации приказов о зачислении. Это отдельные документы (как правило, в формате PDF), которые размещаются в том же разделе сайта или по соседней ссылке.
Структура приказа о зачислении принципиально иная: в нем указываются полные фамилия, имя и отчество каждого зачисленного абитуриента. Номера СНИЛС в приказах обычно отсутствуют.
Однако, сопоставив два документа, можно восстановить полное соответствие:
Конкурсный список (август): строка «123-456-789 00 первое место, подал оригиниал».
Приказ о зачислении (сентябрь): строка «Иванов Иван Иванович» на той же позиции.
Для такого сопоставления не требуется специальных навыков или инструментов. Достаточно открыть два файла и выполнить визуальный поиск. Злоумышленник может автоматизировать этот процесс с помощью простых парсеров, собрав базу данных из тысяч строк «ФИО — СНИЛС» за короткое время.
Архивы: данные остаются в открытом доступе годами
Еще одна особенность, усиливающая риски, — отсутствие политики удаления или архивации данных. На сайтах учебных заведений в разделах «Приемная комиссия» за 2023, 2022, 2021 годы и ранее продолжают храниться полные конкурсные списки и приказы о зачислении.
Таким образом, в публичном поле постоянно находятся персональные данные граждан, которые:
уже завершили обучение;
сменили фамилию;
никогда не давали согласия на бессрочное хранение своих данных в открытом виде.
Поисковые системы индексируют эти документы, что делает их доступными по прямым запросам (например, «СНИЛС site:вуз.рф»).
Почему это происходит
С точки зрения организации процесса, причина кроется в устаревших подходах к проектированию информационных систем приемных комиссий. Большинство учреждений используют типовые решения (например, на базе «1С:Университет» или старые самописные CMS), где:
В качестве публичного идентификатора по умолчанию заложен СНИЛС;СНИЛС
Отсутствует разделение между данными для внутреннего учета и данными для публичного отображения;
Нет регламента по удалению или скрытию данных по окончании приемной кампании.
Разработчики руководствуются принципом «так исторически сложилось», а приемные комиссии не видят в этом проблемы, поскольку формально закон не нарушен.
Предлагаемое решение
Ситуация не требует кардинальной перестройки IT-инфраструктуры или значительных бюджетов. Достаточно внедрить ряд организационных и технических изменений, которые уже стали стандартом в тех учебных заведениях, которые вошли в оставшиеся 13% моего исследования.
Генерация случайных идентификаторов
Вместо СНИЛС в публичных конкурсных списках следует использовать случайно генерируемый код (UUID или короткий буквенно-цифровой набор). Абитуриент получает этот код в личном кабинете и использует его для поиска себя в списке. Для внешнего наблюдателя код не несет никакой смысловой нагрузки и не привязан к персональным данным.Разделение публикации приказов о зачислении
Приказы о зачислении должны публиковаться в формате, исключающем возможность сопоставления с конкурсными списками. Оптимальный вариант:Регламентация хранения архивных данных По окончании приемной кампании данные должны либо удаляться из публичного доступа, либо переводиться в режим, исключающий индексацию поисковыми системами и автоматический сбор. Если архив необходимо сохранить для отчетности, он должен быть размещен в закрытом контуре.
Заключение
Проблема, выявленная в ходе анализа, не является следствием злого умысла или грубой халатности. Это системный эффект устаревших подходов к публикации данных, которые перестали соответствовать современным представлениям о безопасности персональной информации.
87% учебных заведений продолжают использовать СНИЛС в качестве публичного идентификатора, оставляя возможность сопоставления через открытые приказы о зачислении. Данные прошлых лет остаются доступными, формируя открытые базы, которые могут быть использованы как для целевых атак, так и для массового сбора.
Переход на случайные идентификаторы, разделение публикации приказов и регламентация хранения архивов не требуют значительных затрат, но существенно снижают риски для персональных данных сотен тысяч абитуриентов и студентов. Это вопрос не столько технической сложности, сколько внимания к деталям при проектировании публичных сервисов.
