- Wyciek danych 8,8 mln osób z duńskiego rejestru ludności (CPR).
- Dostęp do systemu uzyskany przez hasło "123456".
- Ujawnienie sprawy przez gazetę "Politiken" po kontakcie z hakerem.
- Poważne obawy o wykorzystanie danych przez przestępców i obce wywiady.
Jak proste hasło doprowadziło do kradzieży danych milionów osób?
Haker, który skontaktował się z redakcją duńskiej gazety "Politiken", udowodnił, że wszedł w posiadanie gigantycznej bazy danych. Jak to zrobił? W sposób banalnie prosty. Nie musiał łamać skomplikowanych zabezpieczeń rządowych serwerów. Zamiast tego znalazł słaby punkt gdzie indziej.
Według ustaleń, które haker przekazał dziennikarzom, wystarczyło wykorzystać hasło "123456" należące do pracownika prywatnej firmy z legalnym dostępem do rejestru CPR. Po przejęciu loginu i hasła, które nie były zabezpieczone żadnym dodatkowym uwierzytelnieniem, cyberprzestępca napisał prosty program. Jego zadaniem było automatyczne wysyłanie zapytań do bazy i pobieranie danych rekord po rekordzie, aż do skompletowania całego zbioru. Sprawę jako pierwsza opisała właśnie gazeta "Politiken", której haker w ramach dowodu przesłał dane jednego z jej dziennikarzy.
Wyciekły dane osobowe Duńczyków. Co dokładnie skradziono?
Skala wycieku jest porażająca. Rząd Danii w oficjalnym komunikacie potwierdził, że nieupoważnione osoby uzyskały dostęp do 8,8 mln numerów personalnych CPR, nazwisk oraz adresów osób żyjących, zmarłych, a także Duńczyków mieszkających za granicą. Rejestr CPR to duński odpowiednik naszego systemu PESEL, ale zawiera znacznie więcej informacji. Baza obejmuje łącznie dane około 11 milionów osób. Biorąc pod uwagę, że Danię zamieszkuje nieco ponad 6 milionów ludzi, oznacza to, że wyciek dotyczy praktycznie każdego obywatela, a także osób, które kiedyś tam mieszkały lub już nie żyją.
Co gorsza, to może nie być pierwsza taka sytuacja. Jak podał duński nadawca publiczny DR, podobny wyciek z tego samego systemu mógł mieć miejsce już w 2025 roku. Oznaczałoby to, że wrażliwe dane milionów osób krążyły po sieci od dłuższego czasu, narażając je na ogromne niebezpieczeństwo.
Rząd Danii reaguje. Jakie będą konsekwencje wycieku?
Duńskie władze określiły incydent jako "poważny", a sprawą natychmiast zajęła się policja. To jednak dopiero początek. Po ujawnieniu skandalu przez media, wiele urzędów i instytucji publicznych błyskawicznie zaostrzyło swoje wewnętrzne procedury bezpieczeństwa i wymagania dotyczące obsługi obywateli. Chodzi o to, by maksymalnie utrudnić potencjalne próby oszustw z wykorzystaniem skradzionych danych.
Największe obawy budzą dwa scenariusze.
- Po pierwsze, dane mogą zostać użyte przez zwykłych przestępców do phishingu, czyli podszywania się pod instytucje w celu wyłudzenia pieniędzy lub kolejnych informacji, na przykład danych logowania do bankowości. W Danii trwa teraz gorąca debata, czy skradzione dane mogły już posłużyć przestępcom do wyłudzeń lub zostać wykorzystane przez obcy wywiad.
- Drugi scenariusz, brany pod uwagę przez ekspertów, to właśnie wykorzystanie kompletnej bazy danych obywateli przez służby innych państw.
Ten incydent to potężny cios w wizerunek Danii jako kraju zaawansowanego cyfrowo i przypomnienie, że w cyberbezpieczeństwie najsłabszym ogniwem wciąż pozostaje człowiek.
Podcasty
Playlisty tematyczne
