Держреєстр Данії зламали через пароль 123456: постраждали 8,8 млн користувачів

Анонімний хакер стверджує, що отримав доступ майже до 8,8 млн данських номерів CPR через слабкий пароль.

Про це повідомляє The Copenhagen Post з посиланням на агентство Ritzau. За даними видання, хакер розповів історію газеті Politiken. Номери CPR використовують у національній Системі цивільної реєстрації Данії: за ними ідентифікують мешканців і надають доступ до державних послуг.

Що розповів Politiken про підрядника з доступом

За словами хакера, злам стався 11 вересня через невелику данську компанію, яка мала доступ до реєстру CPR. Увійти в систему, стверджує він, дозволив витеклий пароль колишнього працівника цієї компанії. За інформацією видання, пароль нібито був «123456».

Особу хакера не розкрито, а його розповідь незалежно не підтверджено. Як зазначає Copenhagen Post, Politiken провела інтерв’ю англійською мовою через зашифрований сервіс комунікації.

Оцінка експерта Defend Denmark

Хакер передав Politiken файл із номерами CPR. Газета надіслала його Емілю Хьорнінгу, експерту з ІТ-безпеки данської кібербезпекової компанії Defend Denmark. За даними Copenhagen Post, Хьорнінг сказав, що розповідь хакера виглядає достовірною, а описаний метод правдоподібний.

Сам хакер, за інформацією видання Politiken, розповів, що не планує продавати чи публікувати номери. Свою позицію він пояснив образом: хтось залишає без нагляду валізу з 10 кілограмами плутонію на вокзалі, і її забирає безхатченко. Красти чужі валізи не можна, каже хакер, але й залишати ядерний матеріал на вокзалі не слід. Таке порівняння належить хакеру, а не офіційним органам.

Copenhagen Post не називає компанію-підрядника і не повідомляє, чи коментували інцидент данські державні органи.

Що це означає для ринку

Схема знайома будь-якому бізнесу, який працює з державними реєстрами чи персональними даними клієнтів. Якщо вірити версії хакера, слабкою ланкою став не сам реєстр, а невелика компанія з доступом до нього й акаунт колишнього працівника. Компаніям варто перевірити, чи закрито доступи тим, хто звільнився, чи немає в системах простих паролів і які підрядники мають доступ до чутливих даних.

Джерело: The Copenhagen Post