Slabo zaštićen nalog sa banalnom lozinkom “123456” omogućio je hakeru pristup ličnim podacima čak 8,8 miliona ljudi u nacionalnom registru stanovništva Danske (CPR). Bezbijednosni propust dogodio se preko danske IT i servisne kompanije Pajs ApS, koja je imala ovlašteni pristup centralnom registru.
Danske vlasti i sama kompanija potvrdili su da je legitimni pristup zloupotrijebljen kako bi se preuzela imena, adrese, matični brojevi i drugi osjetljivi podaci građana.
Provalio preko lozinke bivšeg radnika
Prema pisanju portala The Register i navodima danskog lista Politiken, napadač je tvrdio da mu je nalog zaštićen lozinkom “123456” omogućio ulazak u sistem. Politiken navodi da su najmanje tri naloga u kompaniji koristila ovu lozinku, uključujući i jedan administratorski.
Kompanija Malwarebytes objavila je da je početni pristup proistekao iz procurjele lozinke bivšeg zaposlenog u kompaniji Pajs. Navodni haker poručio je da nema namjeru da prodaje ili javno objavljuje prikupljene informacije.
Zloupotreba trajala 10 dana, provaljeno u podatke živih i preminulih
Dokumenti do kojih je došao danski emiter TV 2 pokazuju da je haker dobio pristup 10. septembra i do 20. septembra izveo čak 14 miliona automatizovanih pretraga.
Upad je otkriven tek 2. oktobra, nakon što je na fakturi uočena neuobičajeno visoka aktivnost.
Pogođeni zapisi obuhvataju:
- 5,5 miliona živih osoba
- 3,3 miliona preminulih osoba
Reakcija nadležnih organi
Uprava CPR-a saopštila je da imena i adrese lica koja imaju specijalnu zaštitu podataka nisu bili izloženi. Kompaniji Pajs je odmah obustavljen pristup registru, slučaj je prijavljen državnom organu za zaštitu podataka o ličnosti, a policijska istraga je u toku.
Ovaj incident nastavak je niza bezbijednosnih propusta u kojima stradaju spoljni servisi i treće strane, poput nedavnog hakovanja Discord bota Double Counter koje je izložilo IP adrese miliona korisnika.