Duński rejestr CPR wyciekał przez konto firmy

Atak przez konto firmy w duńskim rejestrze

Duńskie władze ujawniły incydent, w którym osoby nieuprawnione uzyskały dostęp do danych z krajowego rejestru ludności CPR. Sprawa dotyczyła informacji o około 8,8 miliona osób — zarówno żyjących, jak i zmarłych — czyli dużej części wszystkich wpisów w systemie.

Według przekazanych informacji dostęp trwał około 10 dni we wrześniu i został wykorzystany przez podmiot zewnętrzny za pośrednictwem konta należącego do prywatnej duńskiej firmy, która miała legalne prawo do sprawdzania rekordów w rejestrze.

Jakie dane mogły zostać odczytane

W grę wchodziły przede wszystkim:

• imiona i nazwiska,
• adresy,
• numery identyfikacyjne CPR.

Władze podkreślają, że dostęp mieścił się w zakresie danych, jakie prywatne firmy mogą standardowo otrzymywać z rejestru. Z przekazanych komunikatów wynika też, że nie obejmował on danych osób objętych ochroną nazwiska i adresu, choć nie wyjaśniono jednoznacznie, czy ich numery CPR również mogły zostać dotknięte incydentem.

Co wiemy o ataku

Zgodnie z opisem sprawy, w systemie wykonano bardzo dużą liczbę zautomatyzowanych zapytań, których celem miało być ustalenie poprawnych numerów CPR. Rejestracja takiego ruchu wzbudziła podejrzenia pracownika administracji, który zauważył nietypową aktywność pod koniec tygodnia, a następnie uruchomiono procedury wyjaśniające.

Na ten moment pozostają bez odpowiedzi kluczowe pytania:

• w jaki sposób napastnicy uzyskali dostęp do systemów firmy,
• czy dane zostały skopiowane lub wykorzystane,
• kto dokładnie stoi za operacją.

Dlaczego to ważne

CPR to centralny numer identyfikacyjny używany w Danii do rozróżniania osób w administracji i usługach publicznych. Sam w sobie nie powinien służyć jako jedyny dowód tożsamości, ale w połączeniu z imieniem, nazwiskiem i adresem może znacząco ułatwić nadużycia.

Władze przypominają, że osoby posiadające CPR powinny zachować szczególną ostrożność wobec:

• niespodziewanych wiadomości SMS, e-maili i telefonów,
• próśb o podanie danych MitID, haseł lub kodów jednorazowych,
• linków otrzymanych z nieznanego źródła.

Zalecane jest także ustawienie credit warning, czyli oznaczenia w systemie, które ma ostrzegać firmy przed udzielaniem kredytu lub pożyczki na czyjeś dane bez dokładniejszej weryfikacji.

Reakcja władz i dalsze kroki

Dostęp do systemu firmy został odcięty, a sprawa trafiła do duńskiego urzędu ochrony danych oraz policji. Minister odpowiedzialna za cyfryzację przyznała, że zabezpieczenia wokół tego rodzaju dostępu nie były wystarczająco mocne i że przy tak długim czasie trwania incydentu alarm powinien pojawić się wcześniej.

Rozpoczęto już działania mające zapobiec podobnym zdarzeniom w przyszłości, a także pełny przegląd bezpieczeństwa całego rejestru CPR.

Na razie nie zapadła decyzja, czy poszkodowanym będą wydawane nowe numery CPR. Obowiązujące przepisy przewidują taką możliwość w szczególnych przypadkach, gdy numer został nadużyty.