Оказалось, что он получил доступ к госплатформе через учетную запись ИT-компании Pays ApS, введя один из простейших паролей - 123456. Аккаунтов с таким паролем было там несколько, в том числе учетная запись администратора с полными правами.
Атака была обнаружена лишь после того, как заметили необычную активность Pays ApS. С 10 сентября по 20 сентября система зафиксировала 14 миллионов автоматизированных поисковых запросов.
Хакер написал программу, которая перебирала номера CPR. В Дании каждому жителю присваивается уникальный 10-значный номер, который широко используется для идентификации личности при взаимодействии с государственными органами, банками и медицинскими учреждениями. В итоге в руках хакера оказались данные о 5,5 миллиона живых людей и 3,3 миллиона умерших (из 11 миллионов записей, которые хранятся в реестре). Фактически речь идет обо всем населении Дании, где проживает 6 миллионов человек.
Установить личность взломщика не удалось. Но он заверил журналистов, что не собирается продавать или публиковать полученные данные.
Впрочем, это вряд ли меняет ситуацию: датское Агентство общественной безопасности заявило, что идентификационный номер CPR больше нельзя считать надежным самостоятельным средством подтверждения личности.
"Этот случай наглядно демонстрирует, что безопасность системы определяется ее самым слабым звеном: датская база данных оказалась скомпрометирована из-за того, что сторонний пользователь выбрал крайне ненадежный пароль", - отмечают европейские СМИ.
"Это крайне серьезный инцидент", - заявила министр цифровизации Дании Кристина Эгелунд. Она распорядилась провести всестороннюю проверку безопасности системы CPR и призвала жителей Дании проявлять бдительность в отношении подозрительных звонков и электронных писем.
Ожидается, что в ближайшем будущем правительство Дании пересмотрит свою политику использования паролей - особенно сейчас, когда благодаря искусственному интеллекту хакерам стало проще и эффективнее атаковать свои цели.
Тем временем профессор кафедры электротехники и компьютерной инженерии Орхусского университета Йенс Мируп Педерсен охарактеризовал уровень защиты паролей в компании Pays ApS как "безнадежный". "По сути, никакой защиты нет - это все равно что оставить дверь открытой. Пароль вроде 123456 - это первое, что приходит на ум, если взглянуть на список самых распространенных паролей", - заявил он в интервью Politiken. "Трудно представить себе еще более слабую защиту. То, что рано или поздно случится что-то подобное, было лишь вопросом времени", - добавил эксперт.