Wielki wyciek danych z rejestru ludności. Haker użył hasła "123456"

Rząd w Kopenhadze potwierdził, że nieupoważnione osoby mogły uzyskać dostęp do 8,8 mln numerów personalnych CPR (Det Centrale Personregister), nazwisk i adresów osób żyjących oraz zmarłych, a także Duńczyków mieszkających poza krajem.

Władze określiły incydent jako poważny, a duńska policja prowadzi w tej sprawie śledztwo.

Nowe światło na całość rzuca "Politiken". Redakcja dziennika twierdzi, że skontaktowała się po angielsku, za pośrednictwem szyfrowanego komunikatora, z anonimową osobą podającą się za hakera. Ten na potwierdzenie swoich twierdzeń przekazał najpierw dane osobowe jednego z dziennikarzy gazety. Później redakcja otrzymała dostęp do plików obejmujących informacje dotyczące 8,8 mln numerów CPR.

Według relacji hakera, którą cytowani przez "Politiken" eksperci uznali za bardzo prawdopodobną, pierwszym etapem ataku było przejęcie hasła pracownika jednej z duńskich prywatnych firm. Przedsiębiorstwo miało legalny dostęp do rejestru CPR, jednak konto nie było chronione dodatkowym uwierzytelnieniem. Hasło miało brzmieć "123456". Tego typu ciągi liczb od lat plasują się na szczytach list najgorszych haseł, jakie można ustawić.

Następnie haker stworzył oprogramowanie automatycznie wysyłające zapytania do bazy i zapisujące uzyskane odpowiedzi. W ten sposób miał pobrać dane z rejestru, a później podzielić się nimi z redakcją gazety.

Duński nadawca publiczny DR poinformował, że dostęp do rejestru mógł wyciec już w 2025 r. i przez pewien czas pozostawać dostępny w internecie. Oznaczałoby to, że dane Duńczyków były narażone na wykorzystanie przez dłuższy okres.

W duńskich mediach trwa dyskusja nad tym, czy informacje mogły posłużyć przestępcom do wyłudzania kolejnych danych albo pieniędzy. Rozważany jest także scenariusz wykorzystania ich przez osoby podszywające się pod instytucje państwowe, a nawet przez zagraniczny wywiad. Po ujawnieniu sprawy wiele urzędów zaostrzyło zasady obsługi spraw obywatelskich.