У Данії вибухнув масштабний кіберскандал, пов’язаний із компрометацією Центрального реєстру цивільного стану (CPR). Зловмисник здобув доступ до персональних ідентифікаційних номерів, імен та адрес 8,8 мільйона осіб (що перевищує чисельність нинішнього населення країни за рахунок збережених історичних даних) через надзвичайно примітивний захист облікових записів приватного підрядника.

За словами самого хакера, проникнути в захищену державну систему вдалося завдяки тому, що щонайменше три акаунти IT-компанії Pays ApS використовували пароль «123456».

Деталі масштабного кіберінциденту:

• Масштаб витоку та автоматизація: Витік охопив записи 8,8 млн громадян, включаючи нині живих резидентів, померлих та осіб, які виїхали за кордон. Зловмисник перебував у системі понад три тижні та використовував скрипти на базі штучного інтелекту для автоматичного вивантаження персональних даних.
• Бездіяльність систем моніторингу: Упродовж 12-21 дня хакер виконував близько 1,4 мільйона запитів на день до бази даних. Системи автоматичного виявлення аномалій не спрацювали, а незвичну активність помітили лише після формування гігантського фінансового рахунку за користування API для підрядника.
• Джерело вразливості: Компанія Pays ApS, яка мала офіційний легітимний доступ до держреєстру для надання фінансових послуг, виявилася підприємством із кількома співробітниками та критично слабкою політикою аутентифікації.
• Реакція влади та позиція хакера: Сам хакер у коментарях ЗМІ заявив, що не планує продавати чи публікувати викрадену базу, а лише хотів продемонструвати катастрофічний стан кібербезпеки сторонніх підрядників. Міністерство внутрішніх справ та кіберполіція Данії проводять розслідування щодо діяльності прив’язаних до реєстру компаній.