Причиною злому реєстру CPR Данії назвали слабкий пароль „123456"

Слабкий пароль назвали причиною злому реєстру CPR Данії

Пароль „123456", ймовірно, давав хакеру змогу отримати доступ до центрального реєстру фізичних осіб Данії через Pays ApS. Pays ApS — це невелика IT-компанія, заснована в Оденсе. Внаслідок злому було розкрито інформацію, яка пов'язана приблизно з 8,8 мільйонами номерів CPR і охоплює значну частину населення Данії.

У Pays ApS щонайменше 3 облікові записи пов'язані з цим зломом. За даними центрального бізнес-реєстру Данії, на липень 2026 року в Pays ApS було лише 2 співробітники.

Pays ApS підтверджує атаку

Керуючий директор і власник Софі Лаурсен підтвердила данському телеканалу TV 2, що компанію атакували, а її легітимний доступ до системи CPR для пошуку інформації було зловживано.

Анонімний хакер повідомив виданню Politiken, що саме він відповідає за це і що отримати доступ було не надто складно. За словами хакера, вторгнення почалося зі загубленого пароля колишнього співробітника однієї невеликої данської компанії. Зловмисник, ймовірно, дістався до системи CPR цим доступом і створив 2 комп'ютерні програми для вилучення інформації та її зберігання поза реєстром. Відомий доступ тривав 21 день і 17 годин, починаючи з 10 вересня. Хакер заявив, що не планував продавати чи публікувати інформацію.

Що цей злом означає для громадян Данії

CPR Данії — це база даних центральної реєстрації громадян. Вона зберігає інформацію приблизно про 11 мільйонів зареєстрованих осіб, серед яких нинішні жителі, емігранти та померлі. Кілька організацій можуть отримувати авторизований доступ до певної інформації реєстру для перевірки адрес користувачів або підтримання записів про членство, тому безпека реєстру частково залежить від практик безпеки тих організацій, які мають право надсилати до нього запити.

Незважаючи на те, що злом зачепив майже все населення, зловмисники, ймовірно, не мали прямого доступу до цифрових ідентифікацій громадян. Данія значною мірою спирається на двофакторну автентифікацію MitID, тому одного лише розкриття номера CPR недостатньо, щоб зловмисник видавав себе за когось. Проте номери CPR можуть використовуватися в соціальній інженерії та фішингових атаках для створення переконливіших повідомлень, а кіберзлодії можуть поєднувати ці дані з даними попередніх зломів, щоб створити більш точні профілі потенційних жертв.

Уряд Данії попередив громадян бути обережними з небажаними текстовими повідомленнями, телефонними дзвінками та електронними листами, які містять особисту інформацію або нібито надходять від легітимних організацій. У відповідь на такі запити люди не повинні ділитися паролями, одноразовими кодами автентифікації чи іншою чутливою інформацією.

Джерела: Cybernews