Данные 8,8 млн человек утекли из реестра граждан Дании

Злоумышленник почти три недели имел доступ к Центральному реестру лиц Дании (CPR) и получил сведения о 8,8 млн человек. Вошёл он через законный доступ небольшой датской компании Pays ApS. Человек, который взял взлом на себя, утверждает, что учётная запись была защищена паролем «123456». Об этом пишет The Register со ссылкой на датские СМИ.

CPR — главный реестр жителей страны, в нём около 11 млн записей. Кроме живущих в Дании там хранятся сведения об умерших и уехавших за границу. Утечку подтвердила администрация реестра.

Как это произошло

По документам, которые получил телеканал TV 2, взломщик проник в систему 10 сентября. С 10 по 20 сентября он выполнил около 14 млн автоматических запросов. Вторжение обнаружили только 2 октября, через 12 дней после последних поисков. 4 октября об утечке сообщили датскому регулятору по защите данных Datatilsynet, а 5 октября правительство объявило о взломе публично.

Обнаружили его случайно. Директор в министерстве высшего образования и науки Миккель Лейхардт рассказал на пресс-конференции, что сотрудник ведомства увидел счёт с необычно высокой активностью компании Pays. У Pays был разрешённый доступ к реестру, чтобы проверять данные бизнес-клиентов. 9 октября управляющий директор компании Софи Лаурсен подтвердила, что именно этим доступом и воспользовались.

Пароль «123456»

Человек, назвавший себя автором взлома, рассказал газете Politiken, что вошёл через аккаунт IT-компании с паролем «123456». По данным издания, такой же пароль стоял как минимум на трёх учётных записях компании, включая администраторскую. Собеседник Politiken заявил, что не собирается продавать или публиковать данные. Независимо его слова пока не проверены, правительство на вопросы о пароле не ответило.

Сайт Pays сейчас не работает, на запрос The Register компания не ответила. Какие последствия ждут её и администраторов реестра, власти пока не сообщали.

Источники: The Register — утечка из реестра CPR и пароль 123456