Jeden z největších úniků osobních údajů v historii Dánska mohl umožnit jeden z nejhorších možných bezpečnostních přešlapů. Útočník získal přístup k údajům přibližně 8,8 milionu lidí z centrálního registru obyvatel. Účty společnosti, přes kterou se do systému dostal, měly podle médií používat heslo „123456“.
Útočník využil přístup soukromé společnosti
Dánská správa registru CPR potvrdila, že neznámá osoba zneužila legitimní přístup soukromé společnosti k centrálnímu registru obyvatel. Získala tím jména, adresy, osobní identifikační čísla CPR a další údaje přibližně 8,8 milionu registrovaných osob.
Počet je vyšší než současná populace Dánska, protože databáze obsahuje také údaje o zemřelých lidech a osobách, které se odstěhovaly do zahraničí. Celkem registr eviduje přibližně 11 milionů záznamů. Lidé s aktivní ochranou jména a adresy podle úřadů tyto údaje odhalené neměli.
Přístup byl podle médií zneužit přes společnost Pays ApS z Odense, která měla oprávnění v databázi vyhledávat. Politiken zjistil, že nejméně tři její účty, včetně administrátorského, údajně používaly heslo „123456“. Firma potvrdila, že právě její přístup k registru byl při útoku zneužit.
Údajný hacker tvrdí, že se do systému původně dostal pomocí uniklého hesla bývalého zaměstnance. Následně vytvořil dva programy, které automaticky vyhledávaly údaje a ukládaly je mimo systém. Jeho verze událostí zatím nebyla nezávisle potvrzena.
Miliony dotazů nezachytil žádný alarm
Neoprávněná aktivita začala kolem 10. září. Podle předběžného vyšetřování intenzivní automatizované vyhledávání skončilo zhruba 20. září, přístup však zůstal aktivní až do 2. října. Podezřelé chování tak úřady zaznamenaly až přibližně dvanáct dní poté.
Dánský úřad pro ochranu osobních údajů uvedl, že proti systému proběhlo mimořádně velké množství automatizovaných dotazů určených k identifikaci platných CPR čísel. Případ nyní vyšetřuje policie i další státní orgány.
Údajný pachatel zároveň Politiken řekl, že získané informace nechce prodávat ani zveřejňovat. Úřady přesto varují před phishingem a krádežemi identity, protože znalost jména, adresy a CPR čísla může výrazně zvýšit důvěryhodnost podvodných zpráv či telefonátů.
