В Дании зафиксирована масштабная компрометация персональных данных, затронувшая Центральный реестр физических лиц. В результате инцидента злоумышленники получили несанкционированный доступ к конфиденциальной информации 8,8 миллиона человек. Причиной критического сбоя в системе кибербезопасности стало использование примитивной комбинации символов «123456» для защиты учетных записей с корпоративным уровнем доступа.
Детали инцидента и человеческий фактор
Согласно официальным данным, брешь в безопасности была обнаружена спустя 12 дней после первоначального проникновения. Утечка произошла через инфраструктуру компании Pays ApS, которая обладала авторизованным доступом к государственному реестру. Расследование показало, что хакеры смогли авторизоваться в системе, используя данные как минимум трех учетных записей сотрудников, включая аккаунт администратора.
Центральный реестр физических лиц Дании является ключевой базой данных, содержащей идентификационные номера, адреса регистрации и другие чувствительные сведения о гражданах и резидентах страны.
Управляющий директор Pays ApS Софи Лаурсен подтвердила, что хакеры воспользовались корпоративным доступом к реестру. Выяснилось, что пароль «123456» был установлен на критически важных узлах системы.
Последствия для кибербезопасности
Эксперты отмечают, что данный случай подчеркивает сохраняющуюся проблему пренебрежения базовыми правилами цифровой гигиены в организациях, работающих с государственными данными. Несмотря на наличие современных протоколов защиты, человеческий фактор остается самым слабым звеном в цепи безопасности.
- Скомпрометированы данные, превышающие по численности население всей страны (с учетом исторических записей).
- Период скрытого присутствия хакеров в системе составил почти две недели.
- Отсутствие политики обязательной смены сложных паролей привело к административному доступу для посторонних лиц.
Сложившаяся ситуация ставит под вопрос текущие методы аудита информационной безопасности в компаниях-подрядчиках, имеющих доступ к национальным базам данных. Вероятно, инцидент приведет к ужесточению законодательства в области хранения персональных данных и введению обязательной многофакторной аутентификации для всех государственных сервисов Дании. Учитывая масштаб утечки, восстановление доверия к цифровым институтам потребует значительного времени и пересмотра архитектуры контроля доступа.