Autoritățile din Danemarca desfășoară o investigație majoră în urma accesului neautorizat la datele a 8,8 milioane de persoane din registrul central al populației. Atacul cibernetic a fost descoperit în urma unui proces de facturare, când administrația registrului a observat un volum neobișnuit de interogări. În septembrie, au fost efectuate peste 14 milioane de căutări automate în sistemul CPR, dintre care 8,8 milioane au returnat date reale ale cetățenilor.
Investigația realizată de cotidianul Politiken a scos la iveală faptul că firma Pays ApS din Odense ar fi utilizat o parolă extrem de vulnerabilă. Cel puțin trei conturi ale acestei companii, inclusiv unul cu drepturi de administrator, ar fi fost protejate de parola „123456”. Atacatorii nu au compromis direct infrastructura statului, ci au exploatat accesul legal pe care firma de tehnologie îl deținea deja în registrul central al populației.
Datele expuse în urma acestui incident includ nume, adrese și numere CPR, echivalentul danez al codului numeric unic de identificare. Deși populația țării este de aproximativ 6 milioane de locuitori, cifra de 8,8 milioane de înregistrări afectate se explică prin faptul că registrul cuprinde circa 11 milioane de date, incluzând persoanele decedate sau cele care au părăsit țara. Persoanele care beneficiază de protecție specială pentru nume și adresă nu au fost vizate.
Expertul în securitate cibernetică Jens Myrup Pedersen a descris situația ca fiind o „ușă deschisă”, menționând că parola „123456” este una dintre primele variante testate de orice atacator. Ministerul Digitalizării a anunțat incidentul pe 5 octombrie, după ce neregulile au fost observate în seara de 2 octombrie. Ministra Christina Egelund a calificat evenimentul drept profund grav și a solicitat o revizuire completă a măsurilor de securitate.
Pericolul imediat identificat de autorități este riscul de fraudă țintită, deoarece atacatorii pot folosi datele pentru a crea mesaje sau apeluri telefonice mult mai credibile. Din acest motiv, autoritățile daneze au precizat că simpla cunoaștere a numelui, adresei și numărului personal nu mai poate fi considerată o dovadă de identitate validă. Ministerul recomandă cetățenilor să nu divulge niciodată parolele prin telefon sau e-mail, chiar dacă interlocutorul pare să dețină informații personale.
Sistemul de autentificare în doi pași din Danemarca, cunoscut sub numele de MitID, nu a fost afectat de această breșă de securitate. În prezent, poliția daneză a deschis o anchetă oficială, în timp ce firma Pays ApS a fost deconectată de la sistemul de date. Agenția daneză pentru protecția datelor analizează în prezent responsabilitățile juridice și modul exact în care accesul legal a fost transformat într-un instrument de exploatare abuzivă.