Госреестр Дании взломали через пароль 123456: пострадали 8,8 млн пользователей

Анонимный хакер утверждает, что получил доступ почти к 8,8 млн датских номеров CPR из-за слабого пароля.

Об этом сообщает The Copenhagen Post со ссылкой на агентство Ritzau. По данным издания, хакер рассказал эту историю газете Politiken. Номера CPR используются в национальной системе гражданской регистрации Дании: по ним идентифицируют жителей и предоставляют доступ к государственным услугам.

Что сообщила газета «Politiken» о подрядчике, имеющем доступ

По словам хакера, взлом произошёл 11 сентября через небольшую датскую компанию, которая имела доступ к реестру CPR. Войти в систему, как он утверждает, позволил утечённый пароль бывшего сотрудника этой компании. По информации издания, пароль якобы был «123456».

Личность хакера не раскрыта, а его рассказ независимо не подтвержден. Как отмечает Copenhagen Post, Politiken провела интервью на английском языке через зашифрованный сервис связи.

Оценка эксперта Defend Denmark

Хакер передал газете Politiken файл с номерами CPR. Газета направила его Эмилю Хёрнингу, эксперту по ИТ-безопасности датской компании Defend Denmark, специализирующейся на кибербезопасности. По данным Copenhagen Post, Хёрнинг заявил, что рассказ хакера выглядит достоверным, а описанный метод правдоподобен.

Сам хакер, по информации издания Politiken, сообщил, что не планирует продавать или публиковать номера. Свою позицию он объяснил следующим образом: кто-то оставляет без присмотра чемодан весом 10 килограммов плутония на вокзале, и его забирает бездомный. Красть чужие чемоданы нельзя, говорит хакер, но и оставлять ядерный материал на вокзале не следует. Такое сравнение принадлежит хакеру, а не официальным органам.

Copenhagen Post не называет компанию-подрядчика и не сообщает, комментировали ли инцидент датские государственные органы.

Что это означает для рынка

Эта схема знакома любому бизнесу, работающему с государственными реестрами или персональными данными клиентов. Если верить версии хакера, слабым звеном стал не сам реестр, а небольшая компания, имеющая доступ к нему, и аккаунт бывшего сотрудника. Компаниям следует проверить, закрыты ли доступа для уволившихся сотрудников, нет ли в системах простых паролей и какие подрядчики имеют доступ к конфиденциальным данным.

Источник: The Copenhagen Post