دولت دانمارک اعلام کرد که در پی سوءاستفاده از دسترسی‌های قانونی یک شرکت خصوصی به سامانه مرکزی ثبت احوال (CPR)، اطلاعات شخصی حدود ۸.۸ میلیون نفر از جمله نام، آدرس و شماره‌های شناسایی ملی (CPR numbers) افشا شده است.
جزئیات حادثه و نحوه نفوذ
مدیریت سامانه CPR در تاریخ ۲ اکتبر متوجه رفتارهای غیرعادی در سیستم شد. بررسی‌های اولیه نشان داد که این فعالیت‌های مشکوک در طول ماه سپتامبر رخ داده است. برخلاف بسیاری از حملات، در این مورد دسترسی مستقیم مهاجمان به سیستم ایجاد نشده بود، بلکه افراد غیرمجاز از طریق دسترسی قانونی (Legitimate Access) یک شرکت خصوصی دانمارکی، توانستند اطلاعات میلیون‌ها نفر را استخراج کنند.
طبق قوانین ثبت احوال دانمارک، شرکت‌های خصوصی در صورت داشتن دلیل قانونی و رعایت مقررات GDPR و قانون حفاظت از داده‌ها، مجاز به دریافت اطلاعات گروه‌های خاصی از افراد هستند. در این حادثه، مهاجمان از همین سازوکار برای بازیابی گسترده داده‌ها استفاده کرده‌اند.
دامنه اثرات و اقدامات حفاظتی
- تعداد متاثرین: حدود ۸.۸ میلیون نفر از مجموع ۱۱ میلیون رکورد موجود در سامانه.
- داده‌های افشا شده: نام، آدرس و شماره شناسایی ملی (CPR).
- استثنائات: افرادی که درخواست حفاظت از نام و آدرس داده بودند، در این نشت داده‌ها قرار ندارند.
پاسخ عملیاتی و بررسی‌های جاری
مدیریت CPR بلافاصله دسترسی شرکت مذکور به سیستم را قطع کرده و با همکاری متخصصان و مقامات انتظامی در حال بررسی نحوه وقوع این حادثه است. این پرونده به سازمان حفاظت از داده‌های دانمارک گزارش شده و پلیس در حال شناسایی عاملان این دسترسی غیرمجاز است.
کریستینا اگلوند، وزیر تحقیق، آموزش و دیجیتالی‌سازی دانمارک، این حادثه را «بسیار جدی» خواند و دستور بازنگری کامل امنیتی در سامانه CPR و اتخاذ تدابیر پیشگیرانه برای جلوگیری از تکرار چنین حوادثی را صادر کرد.
توصیه‌های امنیتی برای کاربران
مقامات دانمارکی به شهروندان هشدار داده‌اند که در تماس‌های تلفنی یا ایمیل‌ها، هرگز رمز عبور یا اطلاعات محرمانه خود را فاش نکنند؛ حتی اگر طرف مقابل اطلاعاتی نظیر نام، آدرس یا شماره CPR آن‌ها را بداند (حملات مهندسی اجتماعی یا Social Engineering).
این حادثه بار دیگر اهمیت مانیتورینگ دسترسی‌های قانونی (Monitoring Legitimate Access) و شناسایی رفتارهای غیرعادی در پایگاه‌های داده حساس را برای سازمان‌ها برجسته کرد.
