Parola „123456”. Cum au ajuns pe mâna hackerilor datele a 8,8 milioane de oameni din Danemarca
Danemarca investighează accesul neautorizat la datele a 8,8 milioane de persoane din registrul central al populației. Mai multe conturi ale firmei prin care au intrat atacatorii, inclusiv unul de administrator, ar fi folosit parola „123456”.
Peste 14 milioane de căutări automate au fost făcute, în septembrie, în registrul central al populației din Danemarca (CPR), iar 8,8 milioane dintre ele au returnat date reale. Atacul a ieșit la iveală abia când administrația registrului a vrut să-i factureze firmei căutările, pentru că firmele plătesc fiecare interogare.
Conexiunea cu parola „123456” vine dintr-o investigație a cotidianului danez Politiken, citată de publicația spaniolă AS. Potrivit ziarului, cel puțin trei conturi ale firmei Pays ApS din Odense foloseau această parolă, printre ele și un cont de administrator.
Atac fără spargere
Atacatorii nu au spart sistemele statului. Au folosit accesul legal la registru pe care îl avea Pays ApS, o firmă de tehnologie care, potrivit registrului comerțului danez, avea doar doi angajați în iulie 2026. Firma a confirmat că accesul ei legal a fost folosit abuziv. O persoană care susține că este autorul atacului a declarat că a intrat inițial cu datele de autentificare ale unui fost angajat.
Autoritățile nu au stabilit încă dacă parola „123456” a fost cauza directă a breșei. Agenția daneză pentru protecția datelor investighează cum s-a produs atacul și cine răspunde.
Un expert danez în securitate cibernetică, Jens Myrup Pedersen, a spus că, practic, nu exista nicio protecție, ci o ușă deschisă. Potrivit lui, „123456” este printre primele parole încercate de orice atacator.
Morți, emigranți și locuitori
Au fost accesate nume, adrese și numere CPR, echivalentul danez al CNP-ului. Cifra de 8,8 milioane depășește populația țării, de aproximativ 6 milioane de locuitori, pentru că registrul păstrează aproximativ 11 milioane de înregistrări, inclusiv ale persoanelor decedate sau plecate din țară. Persoanele cu adresă și nume protejate nu au fost afectate.
Neregulile au fost observate în seara de 2 octombrie, iar Ministerul Digitalizării a anunțat incidentul pe 5 octombrie. Ministra Christina Egelund l-a numit profund grav și a cerut o revizuire completă a securității registrului. Firma a fost deconectată de la sistem, iar poliția a deschis o anchetă.
Ce riscă danezii
Cel mai mare pericol imediat este frauda țintită: cine cunoaște numele, adresa și numărul personal al cuiva poate scrie mesaje sau poate da telefoane mult mai credibile. Autoritățile daneze au transmis că simpla cunoaștere a acestor date nu mai poate fi considerată o dovadă de identitate.
Ministerul le cere cetățenilor să nu-și dea niciodată parolele prin telefon sau e-mail, chiar dacă interlocutorul pare să le știe numele, adresa și numărul CPR. Conturile protejate prin MitID, sistemul danez de autentificare în doi pași, nu au fost atinse.