Шесть цифр позора: как пароль «123456» открыл доступ к данным почти 9 миллионов датчан

Для масштабного инцидента не понадобились сложные технологии или миллионные бюджеты. Злоумышленник получил доступ к датскому Центральному реестру народонаселения — CPR — через учетную запись частной IT-компании, имевшей законный доступ к базе. По данным датских властей, были затронуты сведения примерно о 8,8 миллиона человека, включая имена, адреса и персональные CPR-номера.

Число записей оказалось намного больше населения Дании, где живут около 6 миллионов человек. Это связано с тем, что CPR хранит данные не только о ныне живущих гражданах, но и об умерших людях, а также о бывших жителях страны. По сообщениям датских СМИ, среди затронутых записей могли быть данные примерно 5,5 миллиона ныне живущих и 3,3 миллиона умерших людей.

Ключом к системе, как утверждает человек, назвавший себя участником атаки, стал пароль «123456». Он был связан с учетными записями компании Pays ApS, базирующейся на острове Фюн. По данным прессы, как минимум три аккаунта компании, включая учетную запись администратора, использовали эту комбинацию.

Доступ к CPR злоумышленник получил в сентябре. Затем через сайт Pays ApS он провел около 14 миллионов автоматизированных запросов к реестру. Несанкционированная активность продолжалась несколько недель, а сама атака была обнаружена 2 октября — спустя 12 дней после последних зафиксированных запросов, когда сотрудник министерства обратил внимание на необычно высокий счет за услуги компании.

После инцидента власти отозвали доступ Pays ApS к реестру, сообщили о случившемся полиции и датскому органу по защите данных и начали расследование. Личность злоумышленника официально не установлена, поэтому его заявления о способе взлома пока следует отделять от подтвержденных властями фактов.