Rząd zabezpieczył dane obywateli hasłem 123456. Nie w żadnym bantustanie, lecz w Europie

W corocznych rankingach najgorszych, a zarazem najpopularniejszych haseł wygrywa absurdalne wręcz „123456”. Wydawać by się jednak mogło, że w przypadku rządowych zabezpieczeń stosowane są poważniejsze zabezpieczenia. Okazuje się jednak, że niekoniecznie. 

Duński urząd prowadzi dochodzenie w sprawie poważnego naruszenia bezpieczeństwa danych osobowych, gdzie według doniesień napastnicy uzyskali dostęp do krajowego rejestru ludności CPR za pośrednictwem zaatakowanego zewnętrznego dostawcy usług IT. Szacuje się, że incydent może dotyczyć nawet 8,8 mln numerów identyfikacyjnych.

W chwili włamania co najmniej trzy konta użytkowników należące do firmy miały korzystać z hasła „123456”, a jedno z nich miało mieć uprawnienia administratora.

Dostawca IT furtką do państwowej bazy

Firma Pays Aps potwierdziła, że jej uprawnienia do dostępu do rejestru zostały wykorzystane w nieuprawniony sposób, a w wiadomości przesłanej stacji TV 2 właścicielka i dyrektorka przedsiębiorstwa, Sophie Laursen, poinformowała, że firma padła ofiarą cyberataku.

Co najciekawsze jednak w tej sprawie, jak wynika z ustaleń dziennika „Politiken”, w chwili włamania co najmniej trzy konta użytkowników należące do firmy miały korzystać z hasła „123456”, a jedno z nich miało mieć uprawnienia administratora. Na razie nie potwierdzono jednak, czy właśnie to słabe hasło umożliwiło atakującym przedostanie się do systemu.

Według doniesień nieuprawniona osoba miała dostęp do rejestru od 10 września przez łącznie 21 dni i 17 godzin. Tak długi okres rodzi pytania o to, dlaczego podejrzana aktywność nie została wcześniej wykryta i jakie zabezpieczenia stosowano w przypadku zewnętrznego podmiotu obsługującego krytyczną infrastrukturę państwa.

Dlaczego numery CPR są tak ważne?

Duński CPR to odpowiednik polskiego PESEL - gromadzi dane identyfikacyjne mieszkańców, a każdej osobie przypisuje unikalny numer. Jest on wykorzystywany między innymi w administracji publicznej, ochronie zdrowia, bankowości i systemie podatkowym. Ujawnienie takich identyfikatorów może zwiększyć ryzyko kradzieży tożsamości i oszustw. Skala potencjalnego wycieku jest w tym przypadku szczególnie niepokojąca.

Sprawa pokazuje również, że bezpieczeństwo państwowych baz zależy od całego ekosystemu, nie tylko od zabezpieczeń samych instytucji, lecz także od standardów stosowanych przez współpracujących z nimi dostawców.