Το χρονικό της παραβίασης στο σύστημα CPR
Το κεντρικό σύστημα πολιτικής καταγραφής (CPR) της Δανίας, το οποίο περιέχει προσωπικά δεδομένα εκατομμυρίων πολιτών, υπέστη μια εκτεταμένη παραβίαση ασφαλείας. Η πρόσβαση επετεύχθη μέσω μιας εταιρείας πληροφορικής με έδρα το Funen, η οποία διέθετε νόμιμη πρόσβαση στη βάση δεδομένων για επαγγελματικούς σκοπούς. Οι εισβολείς κατάφεραν να διατηρήσουν πρόσβαση για 21 ημέρες και 17 ώρες, πραγματοποιώντας περίπου 14 εκατομμύρια αναζητήσεις.
Ανεπαρκής ασφάλεια και «ανοιχτές πόρτες»
Η ανάλυση των γεγονότων αποκάλυψε μια αποκαρδιωτική εικόνα για την ψηφιακή ασφάλεια της εν λόγω εταιρείας. Τουλάχιστον τρεις λογαριασμοί χρηστών, συμπεριλαμβανομένου ενός λογαριασμού διαχειριστή (administrator account), χρησιμοποιούσαν τον κωδικό «123456». Ειδικοί στον τομέα της κυβερνοασφάλειας χαρακτήρισαν την πρακτική αυτή ως «απελπιστική», επισημαίνοντας ότι η απουσία βασικών δικλείδων ασφαλείας, όπως το multi-factor authentication (MFA), κατέστησε το σύστημα ευάλωτο σε απλές επιθέσεις brute-force.
Επιπτώσεις και επόμενα βήματα
Η έκθεση προσωπικών δεδομένων 8,8 εκατομμυρίων ανθρώπων, συμπεριλαμβανομένων ονομάτων και διευθύνσεων, έχει προκαλέσει έντονες αντιδράσεις. Οι αρχές ανακάλυψαν την παραβίαση μόνο όταν παρατήρησαν έναν ασυνήθιστα μεγάλο όγκο τιμολογημένων αναζητήσεων. Η κυβέρνηση της Δανίας έχει ήδη ζητήσει πλήρη έλεγχο ασφαλείας του συστήματος, ενώ η υπουργός Ψηφιοποίησης παραδέχτηκε ότι τα υφιστάμενα μέτρα προστασίας ήταν ανεπαρκή για να αποτρέψουν τέτοιου είδους περιστατικά.