報道によると、攻撃者は流出したパスワードを利用して、ある企業がデンマークの住民登録簿（CPR）に正規にアクセスできる権限を悪用した。パスワードの脆弱性も問題だが、数百万件もの不審な検索を見逃したことが、情報漏洩をさらに深刻なものにした。
デンマークの個人識別番号（CPR）管理当局は、重大なセキュリティインシデントが発生したと発表した。デンマークのある企業がCPRシステムへの正規アクセス権限を悪用し、システムに登録されている約880万人の氏名、住所、CPR番号、その他の情報に不正アクセスしたという。CPR番号はデンマークの個人識別番号である。
システムによって拒否されるはずの、これほど脆弱なパスワードが、なぜこれほど多くの個人情報へのアクセスを可能にしてしまったのだろうか？
報道によると、攻撃者はオーデンセに拠点を置くIT企業Pays ApSを通じてアクセス権を取得した。TV 2によると、PaysはCPRシステムへの正規アクセス権限が悪用されたことを認めた。Paysはデータ更新や「CPRデータクレンジング」などのサービスを提供しており、顧客は登録簿と照合して住所を更新したり、死亡者を特定したり、住所変更に関する情報を取得したりすることができる。
攻撃者は、Paysの元従業員に関連付けられた流出したパスワードを使用したと報じられている。TV 2によると、パスワードを含むメールが流出したという。 123456 この情報はより大規模なデータ漏洩事件に登場しており、最初のアクセスに関するこの説明は、同社自身の調査結果と一致している。
攻撃者たちは10月2日にシステムが閉鎖されるまでの21日間、システムにアクセスしていたが、不審な活動は9月20日には停止していたようだ。約1400万件の検索という異常に高額な請求が、この情報漏洩事件の注目を集めた。
Politiken紙の報道によると、これらの捜索で盗まれたデータは、約550万人の生存者と約330万人の故人のものだったという。
脆弱なパスワードが漏洩したことで、機密性の高い登録簿への不正アクセス経路が開かれてしまった。このアクセスによって数百万件もの検索が行われ、異常に高額な請求書が届いたことで初めて発覚した。
安全に過ごすには
貴社が機密データを取り扱う場合：
- 仕事用アカウントにパスワードを使い回したり、個人用のパスワードを使用したりしないでください。パスワードマネージャーを使って、強力で固有のパスワードを作成し、記憶しておきましょう。
- 機密データへのアクセスを提供するシステムでは、脆弱なパスワードを拒否し、多要素認証を必須とする認証方式を適用すべきである。
- 不審なアクティビティを監視してください。1つのアカウントからこれほど多くの検索が行われていたことは、もっと早く気づくべきでした。
お客様のデータが今回の情報漏洩で流出した可能性がある場合：
- 事件に関する公式発表に注意してください。
- フィッシング詐欺やその他の詐欺に注意してください。詐欺師は、メッセージをより信憑性のあるものにするために、個人情報を利用する可能性があります。
- 当社のブログ記事「データ漏洩に巻き込まれた場合、知っておくべきこと」をお読みください。
プロからのアドバイス：メッセージが本物かどうか確信が持てない場合は、 Malwarebytes Scam Guardを使用してください。詐欺かどうかを判断し、次に何をすべきかを教えてくれます。
何かおかしいと感じたら？クリックする前に確認してください。
Malwarebytes Guardを使えば、不審なリンク、テキスト、スクリーンショットを即座に分析できます。
すべてのデバイス向けの「Malwarebytes Premium 」 iOS Android向け「Malwarebytes でご利用いただけます。
