На умные доски в школах Москвы установили ПО, которое тайно записывает голоса и отправляет их на серверы мэрии

На Github появилась статья о «демоне», который слушает людей в кабинетах школ Москвы. Медиазона пишет, что подтвердила вредоносность кода. Его уже удалили из официального государственного репозитория.

Речь идёт об умных досках, на которых стоит операционная система «Московской электронной школы» (МОС). За них отвечает Департамент информационных технологий при мэрии Москвы. Все они привязаны к конкретной школе и кабинету. 

Автор обнаружил на досках «демон» — ПО, которое работало в фоновом режиме и которое невозможно было отключить. Программа mesh-agent-lesson-log записывала звук, передавала его на сторонний сервер и удаляла из памяти доски. Июньский код отправлял данные на сервера компании Selectel, а октябрьский — непосредственно на ЦОДы мэрии Москвы (school.mos.ru). Информация поступала в раздел с «аналитикой».

Примечательно, что во время разработки изначальной версии 0.1.3 от чиновников программисты не скрывали, для чего нужен модуль. В названии пакета говорилось «Агент для аудиозаписи урока», а в описании — «Агент записывает аудио из аудитории, сообщает о статусе и загружает полученный аудиофайл». Тем не менее, позже в версии 1.1.0 текст поменялся на «Агент обеспечивает проведение урока». Функции при этом остались те же самые. 

«Судя по истории обновлений на трёх проверенных досках, пакет ставится и обновляется массово и централизованно: на всех трёх машинах — одна и та же цепочка версий с одинаковыми датами, установка идёт скриптом через файлы в /tmp, а не вручную. Внешний вид истории (повторные install одних и тех же версий) характерен для развёртывания по всей сети школ через систему удалённого администрирования ДИТ. У нас есть две версии пакета — ранняя, 0.1.3, которая, по-видимому, не устанавливалась массово в школах, и текущая, 1.1.0. Версия 0.1.3 подписана ключом, связанным с разработчиками МОС. В версии 1.1.0 подписи уже нет, но до 3 ноября 2026 пакет можно было скачать с сайта mostech-cloud.mos ru», — пишет автор.

Ранее в московских больницах и поликлиниках аналогичным образом поставили систему записи голоса в кабинетах для личного приёма. Примечательно, что когда педиатру Буяновой понадобился файл диалога с пациенткой, чтобы доказать невиновность по делу о «фейках об армии», данные резко «исчезли». Женщину к 5,5 годам колонии за слова, о которых знала только «потерпевшая»—доносчица.