Сериозен безбедносен пропуст во Данска - откриено како хакер дошол до податоци на повеќе од 8 милиони луѓе

Постои сомнеж дека едноставната лозинка „123456“ му овозможила на хакер пристап до личните податоци на околу 8,8 милиони луѓе во данскиот национален регистар на население. Инцидентот е поврзан со компанијата „Пејс eпс“, данска ИТ-фирма која имала овластен пристап до централниот регистар на лица, познат како ЦПР.

Данските власти потврдија дека некој го злоупотребил пристапот на компанијата за да дојде до имиња, адреси, матични броеви и други податоци. Од „Пејс“ потврдија дека нивниот пристап бил искористен, додека надлежните ја суспендираа соработката и покренаа постапки по откривањето на инцидентот.

Лозинката на поранешен вработен овозможи упад

Лицето што ја презело одговорноста за нападот изјавило дека пристапот му бил овозможен со лозинката „123456“. Весникот наведува дека најмалку три сметки во компанијата ја користеле оваа комбинација, меѓу кои и администраторската сметка. Наводниот напаѓач изјави дека не планира да ги продава, ниту да ги објавува собраните податоци.

Компанијата „Малвербајтс“ извести дека првичниот пристап, според достапните наводи, бил остварен со помош на протечена лозинка поврзана со поранешен вработен во компанијата „Пејс“. Фирмата даваше услуги што им овозможуваа на клиентите проверка на податоците во ЦПР, вклучувајќи промена на адреси и утврдување дали некоја личност е почината.

Напаѓачот добил пристап на 10 септември и до 20 септември извршил околу 14 милиони автоматизирани пребарувања. Упадот бил откриен на 2 октомври, кога на фактурата бил забележан невообичаено голем обем на активности.

Податоци на милиони живи и починати лица

Според наводите за инцидентот, компромитираните податоци опфаќаат околу 5,5 милиони живи и 3,3 милиони починати лица во Данска. Случајот доаѓа по низа други безбедносни инциденти поврзани со надворешни сервиси, меѓу кои и октомврискиот напад врз ботот „Дабл каунтер“ на „Дискорд“ за време на кои беа откриени IP-адреси на милиони корисници.

Управата на ЦПР соопшти дека податоците за имињата и адресите на лицата што имаат посебна заштита на тие информации не биле изложени. По откривањето на инцидентот, надлежните му го укинаа пристапот на компанијата „Пејс“ и го известија данското тело за заштита на личните податоци.

Полицијата отвори истрага за овој случај. Инцидентот повторно го отвори прашањето за безбедноста на системите што обработуваат големи количини лични податоци, особено кога пристапот до таквите бази зависи од сметки и лозинки на вработените.

Извор: 24sedam.rs
Фото: Magnific