Dánia: 8,8 millió ember adataihoz fértek hozzá egy jogosult cégen keresztül

• Szeptemberben több mint 14 millió automatizált lekérdezés érte a dán központi népesség-nyilvántartást (CPR); ezek közül 8,8 millió adott vissza valós adatokat. Az eset akkor vált feltűnővé, amikor a nyilvántartás kezelői megpróbálták kiszámlázni a lekérdezéseket a cégnek.

• A Pays ApS hozzáférését használták ki a támadók: a dániai Odensében működő technológiai vállalat jogosult volt a nyilvántartás használatára, de a cég elismerte, hogy hozzáférésével visszaéltek. Egy, a támadás elkövetőjének mondott személy azt állította, hogy kezdetben egy korábbi alkalmazott belépési adatait használta.

• A „123456” jelszót a Politiken vizsgálata szerint legalább három céges fiók, köztük egy adminisztrátori fiók használta. A hatóságok egyelőre nem állapították meg, hogy ez a jelszó közvetlenül okozta-e az adatszivárgást.

• A kiszivárgott adatok neveket, lakcímeket és CPR-számokat — a dán személyi azonosító számot — tartalmaztak. A 8,8 millió érintett adat azért haladja meg Dánia mintegy 6 milliós lakosságát, mert a nyilvántartás elhunytakról és az országból elköltözőkről is őriz adatokat; a védett című és nevű személyeket nem érintette az eset.

• Október 2-án észlelték a rendellenességeket, a Digitalizációs Minisztérium pedig október 5-én jelentette be az incidenst. A céget leválasztották a rendszerről, a rendőrség nyomozást indított, a minisztérium pedig a nyilvántartás biztonságának átfogó felülvizsgálatát kérte.

• A fő közvetlen kockázat a célzott csalás és a személyazonossággal való visszaélés: a megszerzett adatokkal hitelesebbnek tűnő üzeneteket és telefonhívásokat lehet küldeni. A dán hatóságok arra figyelmeztették az embereket, hogy ne adják meg jelszavaikat telefonon vagy e-mailben; a MitID kétlépcsős azonosítási rendszer fiókjait nem érte támadás.