🇩🇰Пароль «123456» помог скомпрометировать персональные данные 8,8 миллиона жителей Дании

Центральный регистр населения Дании допустил крупнейшую в истории страны компрометацию персональных данных, затронувшую сведения о 8,8 млн человек. Доступ к государственному реестру злоумышленник получил через стороннюю частную компанию, учётные записи которой были защищены примитивным паролем.

Вектор атаки через цепочку поставок подробно описала датская газета Politiken. Журналисты издания связались непосредственно со взломщиком, который передал редакции материалы утечки данных. По его данным, ему удалось извлечь сведения чуть более 8,7 млн человек (5,5 млн ныне живущих и 3,3 млн умерших датчан).

Масштаб утечки охватил почти всю национальную базу данных. Всего система CPR содержит около 11 млн записей, включая ныне живущих граждан, эмигрантов и умерших людей. В распоряжении атакующего оказались полные имена, адреса проживания и персональные идентификационные номера (CPR-номера) 8,8 млн человек. Власти уточнили, что атака не коснулась сведений тех жителей, которые заранее оформили официальную государственную защиту персональных данных от отображения в публичных выписках.

Точкой входа для взлома послужила небольшая компания Pays с острова Фюн. На основании параграфа 38 закона о CPR частные организации с подтверждённым законным интересом имеют право запрашивать данные из государственной системы в отношении лиц, которых компания уже предварительно идентифицировала самостоятельно. Журналисты выяснили, что как минимум три корпоративных аккаунта Pays с прямым доступом к реестру использовали пароль 😹«123456». Это позволило злоумышленнику войти в реестр под видом доверенной организации и на протяжении сентября беспрепятственно выгружать персональные данные граждан через штатный интерфейс поиска.

На текущий момент доступ компании Pays к реестру полностью заблокирован. В официальном коммюнике Министерства высшего образования, науки и цифровизации Дании сообщается, что уведомление об инциденте направлено в датскую инспекцию по защите данных (Datatilsynet), а 👮полиция и профильные службы ведут расследование.

👆Министр высшего образования, науки и цифровизации Дании Кристина Эгелунд проинформировала профильный комитет парламента и потребовала провести внеплановый технический аудит CPR. Власти также продлили часы работы национальной горячей линии кибербезопасности и предупредили граждан об угрозе мошеннических звонков и фишинговых писем, ведь наличие у злоумышленников точных CPR-номеров делает персонализированные атаки социальной инженерии правдоподобными.

✋ @Russian_OSINT