University of Phoenix Breach Exposed 3.5M — Was Oracle’s Zero-Day the Real Culprit or Just a Symptom of Systemic Failure?
Университет Феникса слил данные 3,5 млн человек — Уязвимость в Oracle была настоящей причиной или лишь симптомом системного краха?
Давайте отбросим шум: Университет Феникс не просто взломали — его использовали как открытый API без аутентификации. Данные почти 3,5 миллионов человек — включая номера соцстраховки, банковские реквизиты и даты рождения — тихо выкачивались через уязвимость zero-day в Oracle E-Business Suite. А тревогу подняли только после того, как злоумышленники выложили информацию на свой сайт в даркнете. Три месяца. Столько потребовалось, чтобы заметить. Стыдно? Ещё как.
Вот самое интересное: Oracle выпустила патч после утечки, но у Феникса не было систем, позволяющих понять, что их скомпрометировали. Так в чём проблема — в уязвимости или в том, что университеты представляют собой огромные, недофинансированные цифровые золотые копи с уровнем защиты, как у публичного Wi-Fi в библиотеке?
Эта утечка для меня личная. Я предоставил номер соцстраховки для финансовой помощи в 2020 году, а теперь он на свободе. Проверил кредитную историю сегодня утром — пока ничего не найдено, но я весь в поту. Университет игнорировал наши опасения по безопасности на занятиях. А теперь платим мы. Спасибо, «образование».
Давайте будем честны: Oracle EBS — это устаревший хлам. Университеты пользуются им, потому что «работает», но это монстр для соблюдения нормативов и мечта хакера. Уязвимости типа zero-day — не ошибки, а бомбы замедленного действия в системах, не обновлявшихся с эпохи Буша. И у Феникса даже нет EDR? Ну вы серьёзно?
Все обвиняют университет, но а что насчёт Oracle? Если они продают корпоративное ПО, они обязаны раскрывать уязвимости заранее. Это не просто провал Феникса — это сбой в цепочке поставок по всему высшему образованию.
Грядёт коллективный иск. Феникс работал по коммерческой модели, собирал конфиденциальные данные и не внедрил базовые меры безопасности. На бумаге — халатность. Но по факту? Они заплатят компенсацию, мы получим 50 баксов и бесплатную проверку кредитной истории. Настоящие жертвы — те, чьи номера соцстраховки используют для кредитов. Суды не решат эту проблему.
Ориентироваться на вину Oracle не решит проблему системного недофинансирования. В чём суть? В бюджете. CISO просят EDR, zero-trust и обучение — и получают 2% от ИТ-бюджета. А потом руководство делает вид, что шокировано утечками. Та же сценарная канва, раз за разом.
Именно так. Настоящая поверхность атаки — это не Oracle, а табличка в Excel у руководства, утверждающая «экономически выгодные решения».
То есть мы платим за обучение, сдаём все свои персональные данные и в ответ получаем ноль защиты? Классический поздний капитализм. Мы не студенты — мы просто точки данных в терпящей крах бизнес-модели.
И давайте не забывать — Clop не просто украли данные. Они монетизировали доверие. Университеты функционируют на институциональной надёжности. Когда её взламывают, весь образовательный контракт становится недействительным.