Один из самых банальных паролей в мире мог открыть постороннему доступ почти ко всему реестру населения Дании. Через учетные записи небольшой IT-компании Pays ApS злоумышленник получил сведения примерно о 8,8 млн человек, а масштабную выгрузку заметили не средства защиты, а сотрудник, обративший внимание на необычно крупный счет за запросы к государственной базе.
По информации датских журналистов, как минимум три учетные записи Pays ApS использовали пароль «123456», причем одна принадлежала администратору. Человек, назвавший себя участником взлома, утверждает, что получил доступ с помощью утекших учетных данных и затем написал две программы для автоматического сбора информации. Датские власти пока не подтвердили, что именно пароль «123456» стал первоначальной точкой проникновения.
Комбинация «123456» относится к типичным слабым паролям, которые легко попадают под автоматический перебор и словарные атаки. В случае с Pays ApS проблема оказалась особенно опасной из-за уровня доступа компании: учетные записи позволяли обращаться к Центральному реестру населения Дании, или CPR.
Взламывать сам государственный реестр преступнику не понадобилось. Pays ApS имела законное право запрашивать сведения из CPR для оказания услуг клиентам, а злоумышленник воспользовался уже разрешенным каналом. Администрация CPR официально подтвердила несанкционированный доступ к именам, адресам, персональным номерам CPR и другим сведениям примерно 8,8 млн зарегистрированных людей.
Масштаб утечки превышает нынешнее население Дании, где живут около шести миллионов человек. Причина кроется в устройстве CPR: база содержит примерно 11 млн записей, включая сведения о живущих в стране гражданах, переехавших за границу и умерших. Имена и адреса людей, которые заранее включили специальную защиту персональных данных, в доступный злоумышленнику набор не попали.
С 10 по 20 сентября через скомпрометированный доступ выполнили около 14 млн автоматических запросов. Массовая активность не вызвала своевременной тревоги у средств мониторинга. Нарушение заметили только 2 октября, спустя 12 дней после прекращения основной серии запросов, когда сотрудник обратил внимание на счет Pays ApS с необычно большой суммой. Компании платят за обращения к CPR, поэтому резкий рост числа запросов неожиданно сработал как сигнал безопасности.
Датское управление по защите данных Datatilsynet получило уведомление 4 октября, а власти публично раскрыли инцидент на следующий день. Доступ Pays ApS к CPR заблокировали, полиция начала расследование, специалисты также выясняют, почему миллионы автоматических обращений к национальной базе не привели к более раннему срабатыванию защитных механизмов.
Последствия утечки не ограничиваются раскрытием CPR-номеров. Datatilsynet предупредило жителей, что знание имени, адреса и других персональных сведений помогает преступникам создавать более убедительные мошеннические сообщения и звонки. Персональный номер CPR также нельзя считать секретом или самостоятельным подтверждением личности.
Украденные сведения могут пригодиться для адресного фишинга, попыток выманить банковские реквизиты, пароли или дополнительные данные. Датские власти советуют не доверять звонку или письму только потому, что собеседник знает имя, адрес или CPR-номер, и самостоятельно связываться с банком, компанией или государственным ведомством через официальные каналы.