Dane Duńczyków wyciekły przez hasło 123456

Miliony rekordów z duńskiego CPR na celowniku

W Danii doszło do jednego z najpoważniejszych incydentów związanych z dostępem do rejestru obywateli. Z centralnego rejestru CPR wyciekły dane obejmujące imiona, adresy oraz numery identyfikacyjne około 8,8 mln osób — zarówno żyjących, jak i zmarłych.

Sprawa jest szczególnie bulwersująca, bo źródłem problemu miało być banalne hasło: 123456.

Jak doszło do incydentu

Dostęp do rejestru wykorzystywała firma Pays ApS z Odense, która miała uprawnienia do sprawdzania danych w CPR w ramach usług związanych z aktualizacją adresów i weryfikacją zgonów. Według ujawnionych informacji atakujący mieli użyć legalnego konta tej firmy.

Zebrane dane obejmowały nie tylko podstawowe informacje identyfikacyjne, ale też ogromną liczbę rekordów pobranych w krótkim czasie. W sumie wykonano ponad 14 mln zapytań, aby uzyskać dane dotyczące 8,8 mln numerów CPR.

Hasło, które otworzyło drzwi

Najbardziej szokujący wątek dotyczy zabezpieczeń kont. W analizowanych danych miały się znaleźć informacje wskazujące, że co najmniej trzy konta firmy korzystały z tego samego, skrajnie słabego hasła — w tym konto administracyjne.

To właśnie ten element sprawił, że incydent stał się przykładem klasycznego błędu w podstawach cyberbezpieczeństwa: zbyt łatwego hasła użytego tam, gdzie powinny obowiązywać silne mechanizmy kontroli dostępu.

Długi czas bez wykrycia

Dostęp do systemu miał pozostać otwarty przez 21 dni i 17 godzin. Co istotne, nie wykryto alarmu bezpieczeństwa — o problemie przesądził dopiero nietypowo wysoki rachunek za zapytania do rejestru.

Według dostępnych informacji, aktywność atakującego trwała mniej więcej między 11 a 20 września, a sprawa wyszła na jaw dopiero 2 października wieczorem.

AI w tle ataku

Osoba odpowiedzialna za pobranie danych twierdzi, że do automatyzacji wykorzystała program wygenerowany przez AI. Eksperci, którzy przeanalizowali kod, mieli uznać to za wiarygodne. W programie znalazł się też błąd powodujący wyszukiwanie osób urodzonych w 1877 roku zamiast 1977.

Atakujący deklaruje, że nie zamierza sprzedawać ani publikować danych, ale policja prowadzi postępowanie.

Dlaczego to groźne dla obywateli

Sam numer CPR nie wystarczy do przejęcia czyjejś tożsamości, ponieważ w Danii funkcjonuje MitID z uwierzytelnianiem dwuskładnikowym. Mimo to wyciek nadal jest bardzo niebezpieczny.

Posiadanie imienia, adresu i numeru identyfikacyjnego ułatwia:

• tworzenie bardziej wiarygodnych kampanii phishingowych,
• podszywanie się pod urzędy, banki lub operatorów usług,
• prowadzenie oszustw telefonicznych i mailowych.

Duńskie ministerstwo przypomniało, by nigdy nie podawać hasła przez telefon ani e-mail, nawet jeśli rozmówca zna podstawowe dane osobowe ofiary.

Reakcja władz i nowe wymagania

Po ujawnieniu sprawy uruchomiono audyt systemu, a biuro CPR wysłało wezwania do 1039 firm mających dostęp do rejestru. Od podmiotów tych zażądano m.in.:

• wskazania osoby odpowiedzialnej za bezpieczeństwo,
• ciągłego monitorowania dostępu,
• śledzenia liczby miesięcznych transakcji.

To pokazuje, że problem nie dotyczył wyłącznie jednego konta, ale także sposobu kontroli całego ekosystemu dostępu do danych publicznych.

Wniosek: słabe hasło nadal potrafi wywołać katastrofę

Ten incydent jest brutalnym przypomnieniem, że nawet nowoczesne systemy mogą zawieść, jeśli podstawowe zabezpieczenia są ignorowane. 123456 to nie tylko zły wybór — w takich systemach to prosta droga do masowego wycieku danych.

W praktyce oznacza to jedno: silne hasła, ograniczenia dostępu, monitoring i szybka reakcja na anomalie nie są dodatkiem, ale absolutną koniecznością.