Поради оваа лозинка протекоа податоци за 8,8 милиони луѓе

Слабо обезбедена корисничка сметка со едноставната лозинка „123456“ му овозможила на хакер да пристапи до личните податоци на дури 8,8 милиони луѓе во данскиот национален регистар на население (CPR). Безбедносниот пропуст се случил преку данската ИТ и услужна компанија „Pajs ApS“, која имала овластен пристап до централниот регистар.

Данските власти и самата компанија потврдија дека овој легитимен пристап бил злоупотребен за да се дојде до имињата, адресите, личните идентификациски броеви и други чувствителни податоци на граѓаните.

Пробив преку лозинка на поранешен вработен

Според „The Register“ и данскиот весник „Politiken“, напаѓачот изјавил дека пристапот до системот бил овозможен преку корисничка сметка заштитена со лозинката „123456“. „Politiken“ пренесува дека најмалку три сметки во компанијата ја користеле оваа лозинка, вклучително и една со администраторски привилегии.

Компанијата „Malwarebytes“ наведе дека првичниот пристап бил овозможен преку лозинка што протекла, а која му припаѓала на поранешен вработен во „Pajs“. Наводниот хакер изјавил дека немал намера да ги продава или јавно да ги објавува собраните информации.

Злоупотребата траела 10 дена, пристапено до податоци и за живи и за починати лица

Документите до кои дојде данскиот јавен сервис „TV 2“ покажуваат дека хакерот пристапил до системот на 10 септември, а до 20 септември извршил дури 14 милиони автоматизирани пребарувања.

Упадот бил откриен дури на 2 октомври, откако била забележана невообичаено висока активност поврзана со една фактура. Засегнатите записи вклучуваат:

5,5 милиони живи лица
3,3 милиони починати лица

Администрацијата на CPR соопшти дека имињата и адресите на лицата со посебен статус на заштита на податоците не биле изложени. Пристапот на компанијата „Pajs“ до регистарот бил веднаш суспендиран, инцидентот бил пријавен до националниот орган за заштита на податоци, а во тек е и полициска истрага.

Овој инцидент е најновиот во низата безбедносни пропусти поврзани со надворешни услуги и трети страни – слично на неодамнешното хакирање на „Discord“ ботот „Double Counter“, при што беа изложени IP-адресите на милиони корисници.