یک عامل تهدید (Threat Actor) با سوءاستفاده از یک رمز عبور لو رفته، توانست به دسترسی‌های قانونی یک شرکت خصوصی به سیستم ثبت احوال دانمارک (CPR) نفوذ کند. نکته تکان‌دهنده در این حادثه، استفاده از یک رمز عبور بسیار ضعیف و همچنین عدم شناسایی میلیون‌ها جستجوی غیرعادی در سیستم است که منجر به تشدید ابعاد این نشت داده شد.
جزئیات حادثه و بردار حمله
مدیریت سیستم CPR اعلام کرده است که یک حادثه امنیتی جدی رخ داده است. مهاجم با سوءاستفاده از دسترسی‌های مجاز شرکت IT به نام Pays ApS، به نام‌ها، آدرس‌ها، شماره‌های شناسایی ملی (CPR numbers) و سایر اطلاعات حدود ۸.۸ میلیون نفر ثبت شده در این سیستم دسترسی پیدا کرده است.
بررسی‌ها نشان می‌دهد که مهاجم از طریق یک رمز عبور لو رفته متعلق به یکی از کارکنان سابق شرکت Pays ApS وارد شده است. طبق گزارش‌ها، ایمیلی حاوی رمز عبور “123456” در یک نشت داده گسترده‌تر منتشر شده بود و مهاجم با استفاده از این اعتبار (Credential)، توانست به سیستم نفوذ کند.
شکست در شناسایی و نظارت
مهاجمان به مدت ۲۱ روز دسترسی داشتند تا اینکه در تاریخ ۲ اکتبر دسترسی آن‌ها قطع شد. با این حال، فعالیت‌های مشکوک از ۲۰ سپتامبر متوقف شده بود. نکته قابل تامل این است که این نفوذ نه از طریق سیستم‌های نظارتی امنیتی، بلکه به دلیل صدور یک صورت‌حساب غیرعادی برای حدود ۱۴ میلیون جستجو شناسایی شد.
- تعداد کل رکوردها: حدود ۸.۸ میلیون نفر
- توزیع داده‌ها: ۵.۵ میلیون نفر زنده و ۳.۳ میلیون نفر متوفی
- مدت زمان نفوذ: ۲۱ روز
این حادثه را می‌توان نمونه‌ای بارز از ضعف در مدیریت دسترسی‌ها (Access Management) و نبود سیستم‌های شناسایی ناهنجاری (Anomaly Detection) دانست؛ چرا که انجام میلیون‌ها جستجوی متوالی در یک بازه زمانی کوتاه باید به طور خودکار به عنوان یک فعالیت مشکوک شناسایی و مسدود می‌شد.
