گزارش‌های منتشر شده از رسانه‌های محلی دانمارک حاکی از آن است که نشت داده‌های سیستم ثبت مرکزی اشخاص (CPR) در این کشور، به دلیل ضعف شدید در مدیریت دسترسی‌های یک شرکت کوچک IT رخ داده است. بر اساس اظهارات فردی که مسئولیت این حمله را پذیرفته، دسترسی به این سامانه ملی از طریق حساب‌های کاربری یک شرکت پیمانکار که با رمز عبور بسیار ساده «123456» محافظت می‌شدند، به دست آمده است.
جزئیات فنی نشت داده‌ها
طبق گزارش‌ها، حداقل سه حساب کاربری در این شرکت، از جمله یک حساب مدیر (Administrator Account)، از این رمز عبور ضعیف استفاده می‌کردند. این شرکت که تحت عنوان Pays ApS شناخته می‌شود، برای ارائه خدماتی نظیر اعتبارسنجی سوابق مشتریان تجاری، دسترسی قانونی به سیستم CPR داشت.
- تعداد قربانیان: اطلاعات حدود ۸.۸ میلیون نفر مورد دسترسی قرار گرفته است.
- حجم عملیات: عامل تهدید بین ۱۰ سپتامبر تا ۲۰ سپتامبر، حدود ۱۴ میلیون جستجوی خودکار (Automated Searches) را در سیستم اجرا کرده است.
- نحوه شناسایی: این نفوذ در تاریخ ۲ اکتبر، یعنی ۱۲ روز پس از آخرین فعالیت مشکوک، شناسایی شد. جالب اینجاست که شناسایی حمله نه از طریق سیستم‌های مانیتورینگ امنیتی، بلکه توسط یکی از کارکنان وزارت آموزش عالی و علوم دانمارک و پس از مشاهده یک صورت‌حساب (Invoice) با هزینه‌های غیرعادی مربوط به فعالیت‌های شرکت Pays صورت گرفت.
پیامدهای امنیتی و واکنش‌ها
دولت دانمارک تایید کرده است که دسترسی قانونی این شرکت به سیستم CPR مورد سوءاستفاده قرار گرفته است. در پی این حادثه، وب‌سایت شرکت Pays از دسترس خارج شده و سازمان حفاظت از داده‌های دانمارک (Datatilsynet) در جریان این اتفاق قرار گرفته است. این حادثه بار دیگر اهمیت حیاتی پیاده‌سازی احراز هویت چندعاملی (MFA) و سیاست‌های سخت‌گیرانه رمز عبور را، به‌ویژه برای پیمانکارانی که به زیرساخت‌های حساس دسترسی دارند، برجسته می‌کند.
