Особа, яка взяла на себе відповідальність за масштабний витік даних із Центрального реєстру осіб Данії (CPR), заявила, що здобула доступ через обліковий запис IT-компанії, який захищався комбінацією «123456». За даними ЗМІ, цей примітивний пароль використовувався одразу на трьох акаунтах підрядника, включно з адміністраторським.
Особа, яка взяла на себе відповідальність за масштабний витік даних із Центрального реєстру осіб Данії (CPR), заявила, що здобула доступ через обліковий запис IT-компанії, який захищався комбінацією «123456». За даними ЗМІ, цей примітивний пароль використовувався одразу на трьох акаунтах підрядника, включно з адміністраторським.
Зловмисник повідомив, що не має наміру продавати чи оприлюднювати викрадені дані, а його метою було демонструвати слабкість системи захисту, повідомляє The Register.
Згідно з документами, які отримали журналісти TV 2, хронологія кібератаки виглядає наступним чином. У період із 10 по 20 вересня хакер здобув доступ до системи CPR і здійснив близько 14 млн автоматизованих запитів, проте вторгнення виявили лише 2 жовтня — через 12 днів після завершення атаки, коли співробітник Міністерства вищої освіти та науки Данії звернув увагу на аномальну активність у рахунку-фактурі від підрядника. У результаті вже 4–5 жовтня про інцидент офіційно сповістили Данське агентство з захисту даних та публічно розкрили факт масштабного витоку.
Адміністрація CPR підтвердила, що зловмисники використали легальний доступ однієї з комерційних компаній. Загалом атака торкнулася даних 8,8 млн людей (загалом реєстр містить близько 11 млн записів, враховуючи померлих та тих, хто виїхав за кордон).
Хоча уряд офіційно не називав компанію-джерело витоку, директорка розташованої на острові Фюн компанії Pays ApS Софі Лаурсен підтвердила, що зловмисники використали саме їхній комерційний доступ. Pays ApS надавала послуги з верифікації даних бізнес-клієнтів у реєстрі CPR.
Наразі сайт Pays ApS повністю вимкнений, а керівництво компанії утримується від коментарів щодо заяви про використання пароля «123456». Данський уряд також поки що не відповів на запити журналістів щодо провалу в системі парольної політики підрядника.
