Пароль «123456» привел к утечке национального масштаба — хакер добрался до данных 8,8 млн человек в Дании

Датские СМИ сообщили об утечке персональных данных 8,8 млн граждан. Причиной стали слабо защищённые учётные записи в небольшой ИТ-компании, через которую злоумышленник получил доступ к Центральному реестру физических лиц Дании (CPR). Хакер, взявший на себя ответственность за взлом, утверждает, что использовал пароль «123456», который был установлен как минимум для трёх учётных записей компании, включая аккаунт администратора.

5 октября администрация CPR подтвердила факт утечки данных 8,8 миллиона человек, отметив, что был неправомерно использован легальный доступ одной из датских компаний к системе реестра. Название компании Pays ApS, базирующейся на острове Фюн официально не озвучивалось, однако 9 октября её руководство подтвердило факт компрометации доступа.

Компания Pays имела санкционированный доступ к системе CPR для оказания информационных услуг, таких как проверка данных корпоративных клиентов. Согласно документам, попавшим в публичный доступ, злоумышленник получил доступ к системе CPR 10 сентября и в период до 20 сентября выполнил 14 миллионов автоматизированных поисковых запросов. Взлом был обнаружен 2 октября — через 12 дней после того, как были зафиксированы последние запросы.

Атака была выявлена ​​после того, как сотрудник Министерства высшего образования и науки обратил внимание на необычно высокую активность со стороны Pays. Датский орган по защите данных (Datatilsynet) был уведомлён 4 октября, а на следующий день правительство официально признало факт кибератаки.

По заявлению правительства Дании, был получен доступ к информации о 8,8 миллиона человек. Численность населения страны составляет около 6 миллионов человек. Всего в реестре содержится около 11 миллионов записей, включая данные об умерших и выехавших за границу людях. Правительство не ответило на вопросы касательно предполагаемых проблем с безопасностью паролей.

Сайт компании Pays в настоящее время отключён. Представитель компании воздержался от комментариев. Хакер сообщил датскому изданию Politiken, что не планировал продавать или публиковать полученные данные.