در یک حادثه امنیتی گسترده، مهاجمان سایبری موفق شدند به نام‌ها، آدرس‌ها و شماره‌های شناسایی ملی (CPR) مربوط به ۸.۸ میلیون نفر در دانمارک دسترسی پیدا کنند. این نفوذ از طریق یک شرکت شخص ثالث (Third-party) که دسترسی قانونی به سامانه ثبت احوال داشت، صورت گرفته است.
جزئیات نشت داده‌ها
پایگاه داده مورد حمله، ثبت ملی جمعیت دانمارک است که شامل جزئیات شناسایی تقریباً تمامی افرادی است که با این کشور در ارتباط بوده‌اند (اعم از ساکنان فعلی، متوفیان یا کسانی که سال‌ها پیش مهاجرت کرده‌اند). در مجموع، این دیتابیس حاوی حدود ۱۱ میلیون رکورد است. وزیر امور دیجیتال دانمارک، کریستینا اگلوند، این اتفاق را یک «حادثه بسیار جدی» توصیف کرده و اعلام نموده است که دولت در حال بررسی ابعاد کامل این نفوذ است.
ریسک‌های امنیتی و سرقت هویت
شماره‌های CPR در دانمارک مشابه شماره تامین اجتماعی در ایالات متحده است و برای دسترسی به خدمات حیاتی مانند بانکداری، بهداشت و درمان و سیستم‌های مالیاتی استفاده می‌شود. ترکیب این شماره‌ها با نام و آدرس، ریسک بسیار بالایی برای سرقت هویت (Identity Fraud) ایجاد می‌کند.
تحلیل نقطه ورود و ضعف‌های سیستمی
نکته کلیدی در این حمله این است که مهاجمان مستقیماً به سیستم‌های دولتی نفوذ نکردند، بلکه از طریق یک شرکت دانمارکی که دسترسی قانونی به این ثبت احوال داشت، وارد شدند. این موضوع بار دیگر نشان داد که امنیت پایگاه‌های داده دولتی به اندازه ضعیف‌ترین حلقه زنجیره تامین (Supply Chain) آن‌هاست.
یک مورد نگران‌کننده دیگر این است که طبق گزارش‌ها، دسترسی این شرکت به ثبت احوال بلافاصله پس از شناسایی حمله لغو نشده است؛ به این معنا که مسیر مورد استفاده مهاجمان ممکن است همچنان فعال باشد.
ابعاد استراتژیک و امنیت ملی
این نشت داده‌ها فراتر از یک مسئله حریم خصوصی یا جرم سایبری است. دسترسی به پروفایل‌های دقیق شهروندان، مقامات و کسب‌وکارها می‌تواند توسط عوامل تهدید برای اهداف زیر مورد استفاده قرار گیرد:
- جاسوسی (Espionage) و شناسایی هدفمند
- مهندسی اجتماعی (Social Engineering) پیشرفته
- عملیات تاثیرگذاری و انتشار اطلاعات گمراه‌کننده (Disinformation)
این حادثه تأکید می‌کند که دسترسی‌های شخص ثالث باید به عنوان بخشی از محیط امنیت ملی (National Security Perimeter) در نظر گرفته شوند، نه صرفاً یک موضوع فنی یا قراردادی.
