У Данії стався масштабний витік персональних даних із Центрального реєстру осіб (CPR), який містить інформацію про 8,8 мільйона жителів країни, включно з померлими. Зловмисник зміг отримати доступ до чутливої бази через акаунт приватного підрядника, захищений примітивною комбінацією «123456». Як з’ясувалося пізніше, такий самий пароль використовувався одразу на трьох облікових записах компанії, один із яких мав адміністративні права.
Інцидент трапився у вересні, проте влада Данії виявила несанкціоноване втручання лише на початку жовтня. Представники Міністерства досліджень, освіти та цифровізації звернули увагу на аномально високий рахунок за послуги від ІТ-компанії Pays ApS. Ця фірма мала законний доступ до державного реєстру для перевірки комерційних записів і звірки даних клієнтів за плату.
За даними розслідування, зловмисник скористався обліковим записом Pays ApS десятого вересня та встиг здійснити близько 14 мільйонів автоматизованих пошукових запитів до двадцятого числа. Виконавчий директор компанії Софі Лаурсен підтвердила факт використання їхнього доступу для вивантаження інформації. Водночас сам хакер заявив, що не планує оприлюднювати чи продавати викрадені імена, адреси та ідентифікаційні номери громадян.
Експерти з кібербезпеки зазначають, що подібні інциденти підкреслюють вразливість державних систем перед третіми особами, які не дотримуються базових правил цифрової гігієни. Попри те, що сервіс створювався для платних комерційних перевірок, відсутність жорстких вимог щодо складності паролів чи двофакторної автентифікації викликала серйозну критику з боку суспільства та фахівців.
Очікується, що данський уряд найближчим часом перегляне протоколи безпеки та правила доступу до національних баз даних. У світі, де зловмисники все частіше залучають алгоритми штучного інтелекту для атак на державні інституції, використання стандартних паролів створює критичні загрози для національної безпеки.
Джерела: pcgamer.com, tomshardware.com
