Danimarka CPR kayıt defterinin ihlalinin nedeni zayıf "123456" parolası olarak belirlendi

Zayıf parola Danimarka CPR ihlalinin nedeni olarak belirlendi

"123456" parolası, muhtemelen hackerin Pays ApS aracılığıyla Danimarka Merkez Kişisel Kayıt Defteri'ne erişim sağlamasına olanak tanıdı. Pays ApS, Odense'de kurulmuş küçük bir IT şirketidir. İhlal sonucunda yaklaşık 8,8 milyon CPR numarasıyla ilişkili ve Danimarka nüfusunun büyük bir kısmını kapsayan bilgi ortaya çıktı.

Pays ApS'te bu ihlal ile ilişkili en az 3 hesap bulunuyor. Danimarka Merkez İş Kayıt Defteri verilerine göre, Temmuz 2026 itibarıyla Pays ApS'in yalnızca 2 çalışanı vardı.

Pays ApS saldırıyı doğruluyor

Genel müdür ve sahibi Sofie Larsen, Danimarka kanalı TV 2'ye şirketin hedef alındığını ve meşru erişiminin CPR sisteminde bilgi aramak için kötüye kullanıldığını doğruladı.

Anonim hacker Politiken'e sorumlu kişinin kendisi olduğunu ve erişim elde etmenin özellikle zor olmadığını açıkladı. Hackerin ifadesine göre, saldırı küçük bir Danimarkalı şirketin eski çalışanının sızdırılan parolasıyla başladı. Saldırgan, muhtemelen bu erişimle CPR sistemine ulaştı ve bilgileri çekmek ve kayıt defteri dışında saklamak için 2 bilgisayar programı oluşturdu. Bilinen erişim 10 Eylül'den başlayarak 21 gün 17 saat sürdü. Hacker, bilgileri satmayı veya yayınlamayı planlamadığını söyledi.

Bu ihlal Danimarka vatandaşları için ne anlama geliyor

Danimarka CPR, merkezi sivil kayıt veritabanıdır. Yaklaşık 11 milyon kayıtlı kişi hakkında bilgi saklar; bunlar arasında mevcut sakinler, yurt dışına göç edenler ve ölüler bulunur. Birkaç kuruluş, kullanıcı adreslerini doğrulamak veya üyelik kayıtlarını korumak için kayıt defterindeki belirli bilgilere yetkili erişim alabilir, bu nedenle kayıt defterinin güvenliği kısmen, içine sorgu gönderme yetkisi olan bu kuruluşların güvenlik pratiklerine bağlıdır.

İhlalin neredeyse tüm nüfusu etkilemesine rağmen, saldırganlar vatandaşların dijital kimliklerine doğrudan erişim sağlayamamış olabilir. Danimarka büyük ölçüde MitID'in iki faktörlü kimlik doğrulamasına dayanır, bu nedenle yalnızca CPR numarasının açığa çıkması, bir saldırganın birini taklit etmesi için yeterli değildir. Ancak CPR numaraları, sosyal mühendislik ve oltalama saldırılarında daha ikna edici mesajlar oluşturmak için kullanılabilir ve siber suçlular bu verileri önceki ihlallerden gelen verilerle birleştirerek potansiyel kurbanların daha doğru profillerini oluşturabilir.

Danimarka hükümeti vatandaşları uyararak, kişisel bilgi içeren veya görünüşe göre meşru kuruluşlardan gelen istenmeyen mesajlar, telefon aramaları ve e-postalara karşı dikkatli olmalarını söyledi. Bu tür taleplere yanıt olarak insanlar parolaları, tek kullanımlık kimlik doğrulama kodları veya diğer hassas bilgileri paylaşmamalı.

Kaynaklar: Cybernews