Danimarca, data breach al registro CPR: 8,8 milioni di persone, password “123456”

• Violato il registro anagrafico danese CPR: coinvolte 8,8 milioni di persone
• Abusato l'accesso legittimo di Pays ApS; per i media tre account usavano "123456"
• 14 milioni di ricerche automatizzate tra il 10 e il 20 settembre
• Intrusione scoperta il 2 ottobre da una fattura anomala; avvisato Datatilsynet

Il registro anagrafico centrale della Danimarca (CPR) ha subito un data breach che coinvolge le informazioni di 8,8 milioni di persone. L’amministrazione del CPR lo ha confermato il 5 ottobre, spiegando che è stato abusato l’accesso legittimo al sistema di una società danese.

La password “123456”

Una persona che rivendica l’attacco ha detto al quotidiano Politiken di essere entrata tramite l’account di un’azienda informatica protetto dalla password “123456”. Secondo il giornale, almeno tre account della società, compreso uno amministratore, usavano la stessa password. Il sito di Politiken è la fonte di queste affermazioni: il governo non ha risposto alle domande sulle presunte falle nelle credenziali.

L’autore dell’attacco ha dichiarato di non voler vendere né diffondere i dati.

L’azienda coinvolta

L’amministrazione del CPR non ha fatto il nome della società. La direttrice Sophie Laursen, però, ha confermato il 9 ottobre che l’accesso sfruttato era quello di Pays ApS, azienda con sede a Funen. Pays era autorizzata a usare il CPR per servizi come la verifica dei dati dei clienti business. Il suo sito web è stato messo offline e l’azienda non ha risposto alle richieste di The Register.

Il registro contiene circa 11 milioni di record, inclusi quelli di persone decedute o trasferite all’estero.

Cronologia

• 10 settembre: l’attaccante accede al sistema CPR, secondo documenti ottenuti dall’emittente TV 2.
• Fino al 20 settembre: vengono eseguite 14 milioni di ricerche automatizzate.
• 2 ottobre: l’intrusione viene individuata, 12 giorni dopo le ultime ricerche segnalate.
• 4 ottobre: viene avvisata l’autorità per la protezione dei dati, Datatilsynet.
• 5 ottobre: il governo rende pubblico l’incidente.

Come è stato scoperto

Mikkel Leihardt, direttore del ministero danese dell’istruzione superiore e della scienza, ha spiegato in conferenza stampa che l’attacco è emerso quando un dipendente del dipartimento ha notato una fattura che indicava un’attività insolitamente alta da parte di Pays. Non è stato quindi un sistema di monitoraggio a rilevare l’anomalia.

Il caso mostra i rischi degli accessi di terze parti a registri nazionali: la sicurezza dipende anche dalle credenziali dei fornitori autorizzati.

Fonte: theregister · Foto: theregister