Слаба администраторска парола е свързана с мащабно изтичане на данни в Дания, при което е изложена информация, обвързана с около 8,8 милиона национални идентификационни номера. Съобщава се, че най-малко три акаунта в Pays, ИТ компания от остров Фюн, са използвали „123456“, включително администраторски акаунт.

Случаят показва как занижената сигурност в компания с доверен достъп може да изложи на риск национална база данни. Pays е имала разрешение да извършва справки в датския Централен регистър на лицата, известен като CPR. Твърди се, че атакуващият е използвал този достъп, за да събере лични записи, вместо да прониква директно в основните системи на регистъра.

Развитие на пробива в датския CPR

Според разследване на Politiken хакерът е споделил откраднатите данни с вестника и е заявил, че паролата „123456“ е помогнала за отключване на достъпа до CPR номера и адреси. Politiken съобщава за 8 749 975 записа, което обяснява защо в медиите инцидентът се описва като изтичане на 8,7 милиона или приблизително 8,8 милиона записа.

Оповестените данни обхващат около 5,5 милиона живи и 3,3 милиона починали лица. Тези закръглени стойности не трябва да се приемат като точен общ сбор. Регистърът CPR съхранява лична информация за лица, живеещи в Дания или регистрирани там в миналото.

Изданието The Copenhagen Post съобщава, че атакуващият е получил достъп чрез изтекла парола, принадлежаща на бивш служител на малка датска компания. Твърди се, че след това киберпрестъпникът е разработил две програми за извличане на CPR информация и записването ѝ извън системата. Тези подробности се основават на твърденията на самия хакер, а не на публикуван доклад от криминалистичен анализ.

Съобщава се, че достъпът е започнал на 10 септември и е продължил 21 дни и 17 часа. Този продължителен период повдига въпроси относно това дали контролите за мониторинг биха могли да засекат многократни търсения или необичайно събиране на данни, преди милиони записи да бъдат компрометирани.

Pays потвърждава злоупотребата с оторизиран достъп

Базираната в Оденсе компания Pays ApS потвърди пред TV 2, че с нейния легитимен достъп за търсене в системата CPR е било злоупотребено. Изпълнителният директор и собственик Софи Лаурсен призна за атаката в имейл, според The Copenhagen Post.

Частни компании и сдружения могат да получат достъп до CPR, когато имат легитимна необходимост, като например проверка на адресите на клиенти или членове. Тази практика прави сигурността на всяка одобрена организация от изключително значение, тъй като валидните идентификационни данни могат да осигурят път към чувствителни публични регистри.

Моделът наподобява пробива на данни от трета страна във Veradigm, при който откраднати идентификационни данни на доставчик позволиха на атакуващ да изтегли информация за пациенти през одобрен интерфейс. Системите са различни, но и двата случая показват защо довереният достъп се нуждае от строги ограничения и надзор.

Cybersecurity News по-рано отрази изследване на пароли, използвани при RDP атаки, в което „123456“ оглавява съобщения списък. Това проучване засяга достъпа до отдалечен работен плот, а не датската система CPR, но подчертава как предвидимите пароли продължават да бъдат полезни за атакуващите.

Организациите, обработващи данни за самоличност, трябва да блокират често срещаните пароли, да изискват уникални идентификационни данни и да активират многофакторна автентикация. Акаунтите на бивши служители трябва да бъдат деактивирани незабавно.

Достъпът също така трябва да бъде ограничен само до необходимите записи, като бъдат въведени предупреждения за необичаен обем от търсения и масово изтегляне на данни. Пробивът също така подчертава необходимостта от редовен преглед на достъпа на партньори, вместо одобрението да се третира като постоянна мярка за сигурност.

Хакерът заяви пред Politiken, че няма планове да продава или публикува информацията. Това твърдение обаче не премахва риска за поверителността, създаден от неразрешените копия на лични записи.

Наличните медийни съобщения не доказват, че компрометираната информация вече е била използвана за измами, и подобна злоупотреба не следва да се представя като потвърдена.