Atakujący podobno wykorzystał wykradzione hasło, aby nadużyć legalnego dostępu firmy do duńskiego rejestru ludności (CPR). Słabe hasło jest godne uwagi, ale brak wykrycia milionów nietypowych wyszukiwań sprawił, że włamanie stało się jeszcze poważniejsze.
Administracja CPR poinformowała o wykryciu poważnego incydentu bezpieczeństwa. Nadużywając autoryzowanego dostępu duńskiej firmy do systemu CPR, osoby nieupoważnione uzyskały dostęp do nazwisk, adresów, numerów CPR i innych informacji należących do około 8,8 miliona osób zarejestrowanych w systemie. Numery CPR to duńskie numery identyfikacyjne.
Jak to możliwe, że hasło tak słabe, że system powinien je odrzucić, może umożliwić dostęp do tak wielu danych osobowych ?
Według doniesień atakujący uzyskał dostęp za pośrednictwem Pays ApS, firmy informatycznej z siedzibą w Odense. Według TV 2 , Pays potwierdziło, że jego autoryzowany dostęp do systemu CPR został nadużyty. Pays oferuje usługi obejmujące aktualizację danych i „czyszczenie danych CPR”, umożliwiając klientom sprawdzenie danych w rejestrze w celu aktualizacji adresów, identyfikacji osób zmarłych i uzyskania informacji o zmianach adresu.
Według doniesień napastnik użył wykradzionego hasła należącego do byłego pracownika Pays. TV 2 podaje, że wiadomość e-mail zawierająca hasło 123456 pojawiły się w wyniku większego wycieku danych i że ta wersja początkowego dostępu pokrywa się z jej własnymi badaniami.
Atakujący mieli dostęp do serwisu przez 21 dni, zanim został on zablokowany 2 października, choć podejrzana aktywność najwyraźniej ustała 20 września. Niezwykle wysoki rachunek za około 14 milionów wyszukiwań zwrócił uwagę na naruszenie prywatności.
Politiken podaje , że dane skradzione podczas tych przeszukań należały do około 5,5 miliona żyjących i 3,3 miliona zmarłych osób.
Słabe, wyciekłe hasło otworzyło autoryzowaną ścieżkę do poufnego rejestru. Ten dostęp umożliwił przeprowadzenie milionów wyszukiwań, a aktywność została odkryta dopiero po tym, jak nietypowo wysoki rachunek zwrócił na nią uwagę.
Jak zachować bezpieczeństwo
Jeśli Twoja organizacja przetwarza poufne dane:
- Nie używaj tych samych haseł ani haseł osobistych do kont służbowych. Użyj menedżera haseł , aby tworzyć i zapamiętywać silne, unikalne hasła.
- W przypadku systemów zapewniających dostęp do poufnych danych należy wymusić uwierzytelnianie, które odrzuci słabe hasła, i wprowadzić obowiązek stosowania uwierzytelniania wieloskładnikowego .
- Monitoruj nietypową aktywność. Tak wiele wyszukiwań z jednego konta powinno zostać zauważonych wcześniej.
Jeżeli Twoje dane mogły zostać ujawnione w wyniku tego naruszenia:
- Śledź oficjalne informacje dotyczące tego incydentu.
- Uważaj na phishing i inne oszustwa. Oszuści mogą wykorzystywać dane osobowe, aby ich wiadomości były bardziej przekonujące.
- Przeczytaj nasz blog. Doświadczyłeś naruszenia bezpieczeństwa danych? Oto, co musisz wiedzieć .
Wskazówka: Użyj Malwarebytes Scam Guard, jeśli nie masz pewności, czy wiadomość jest wiarygodna. Pomoże Ci to ustalić, czy to oszustwo i co dalej zrobić.
Coś wydaje się nie tak? Sprawdź to przed kliknięciem.
Malwarebytes Guardpozwala błyskawicznie analizować podejrzane linki, teksty i zrzuty ekranu.
Dostępne w ramachMalwarebytes Premium na wszystkie Twoje urządzenia oraz wMalwarebytes na iOS Android.
