Un pirate aurait exploité un mot de passe divulgué pour accéder illégalement au registre de la population danoise (CPR) via un accès légitime. La faiblesse du mot de passe est déjà préoccupante, mais l'incapacité à détecter des millions de recherches inhabituelles a considérablement aggravé la situation.
L' administration du CPR a annoncé avoir identifié un grave incident de sécurité. En exploitant l'accès autorisé d'une entreprise danoise au système CPR, des personnes non autorisées ont pu accéder aux noms, adresses, numéros CPR et autres informations d'environ 8,8 millions de personnes enregistrées dans le système. Les numéros CPR sont les numéros d'identification personnels danois.
Comment un mot de passe si faible qu'il aurait dû être rejeté par le système a-t-il pu ouvrir la porte à autant d'informations personnelles ?
L'attaquant aurait accédé au système via Pays ApS, une société informatique basée à Odense. Selon TV 2 , Pays a confirmé que son accès autorisé à la base de données d'état civil a été abusé. Pays propose des services tels que la mise à jour des données et le « nettoyage du registre d'état civil », permettant aux clients de vérifier les informations afin de mettre à jour leurs adresses, d'identifier les personnes décédées et d'obtenir des informations sur les changements d'adresse.
L'attaquant aurait utilisé un mot de passe divulgué associé à un ancien employé de Pays. TV 2 indique qu'un courriel contenant ce mot de passe circulait. 123456 était apparue dans une fuite de données plus importante, et ce récit de l'accès initial correspond à ses propres recherches.
Les attaquants ont eu accès au système pendant 21 jours avant sa fermeture le 2 octobre, bien que l'activité suspecte semble avoir cessé le 20 septembre. Une facture anormalement élevée pour environ 14 millions de recherches a attiré l'attention sur la faille de sécurité.
Politiken rapporte que les données volées lors de ces recherches appartenaient à environ 5,5 millions de personnes vivantes et 3,3 millions de personnes décédées.
Un mot de passe faible, divulgué par la police, a permis d'accéder à un registre sensible. Cet accès a autorisé des millions de recherches, et l'activité suspecte n'a été découverte qu'après la réception d'une facture d'un montant anormalement élevé.
Comment rester en sécurité
Si votre organisation traite des données sensibles :
- Ne réutilisez pas vos mots de passe et n'utilisez pas vos mots de passe personnels pour vos comptes professionnels. Utilisez un gestionnaire de mots de passe pour créer et mémoriser des mots de passe forts et uniques.
- Pour les systèmes donnant accès à des données sensibles, imposez une authentification qui rejette les mots de passe faibles et rendez l'authentification multifacteurs obligatoire.
- Surveillez toute activité inhabituelle. Un tel nombre de recherches provenant d'un seul compte aurait dû être remarqué plus tôt.
Si vos données ont pu être exposées lors de cette violation de données :
- Suivez les mises à jour officielles concernant cet incident.
- Soyez vigilant face aux tentatives d'hameçonnage et autres arnaques. Les escrocs peuvent utiliser vos informations personnelles pour rendre leurs messages plus convaincants.
- Lisez notre blog : Victime d’une fuite de données ? Voici ce que vous devez savoir .
Conseil de pro : Utilisez Malwarebytes Scam Guard si vous avez un doute sur la légitimité d’un message. Ce logiciel peut vous aider à déterminer s’il s’agit d’une arnaque et quelle est la marche à suivre.
Quelque chose vous semble étrange ? Vérifiez avant de cliquer.
Malwarebytes Scam Guard vous aide à analyser instantanément les liens, les textes et les captures d'écran suspects.
Disponible avec Malwarebytes Premium Security pour tous vos appareils, et dans l' application Malwarebytes pour iOS et Android .
