Um atacante terá usado uma palavra-passe que foi divulgada para abusar do acesso legítimo de uma empresa ao registo populacional da Dinamarca (CPR). A palavra-passe fraca é notável, mas a falha em detetar milhões de pesquisas incomuns agravou a situação.
A administração do CPR (Registo Civil Dinamarquês) afirma ter identificado um grave incidente de segurança. Ao abusar do acesso autorizado de uma empresa dinamarquesa ao sistema CPR, pessoas não autorizadas obtiveram acesso aos nomes, moradas, números CPR e outras informações de cerca de 8,8 milhões de pessoas registadas no sistema. Os números CPR são os números de identificação pessoal da Dinamarca.
Como é que uma password tão fraca, ao ponto de ser rejeitada pelo sistema, pôde abrir as portas a tanta informação pessoal ?
O atacante terá obtido acesso através da Pays ApS, uma empresa de TI sediada em Odense. Segundo a TV 2 , a Pays confirmou que o seu acesso autorizado para pesquisar o sistema de Registo Civil foi utilizado indevidamente. A Pays oferece serviços como a atualização de dados e a "limpeza do Registo Civil", permitindo aos clientes verificar os registos para atualizar moradas, identificar pessoas falecidas e obter informações sobre alterações de morada.
O atacante terá usado uma password vazada associada a um ex-funcionário da Pays. A TV 2 afirma que um e-mail contendo a palavra-passe foi enviado para o atacante. 123456 tinha surgido numa maior fuga de dados, e este relato do acesso inicial coincide com a própria pesquisa.
Os atacantes tiveram acesso ao sistema durante 21 dias antes de este ser bloqueado a 2 de outubro, embora a atividade suspeita pareça ter cessado a 20 de setembro. Uma conta invulgarmente elevada, referente a cerca de 14 milhões de buscas, chamou a atenção para a violação.
O jornal Politiken refere que os dados roubados nestas buscas pertenciam a aproximadamente 5,5 milhões de pessoas vivas e 3,3 milhões de pessoas falecidas.
Uma palavra-passe fraca e vazada abriu uma rota não autorizada para um registo sensível. Este acesso permitiu milhões de pesquisas, e a atividade só foi descoberta depois de uma conta de valor invulgar ter chamado a atenção para o sucedido.
Como se manter seguro
Se a sua organização lida com dados sensíveis:
- Não reutilize palavras-passe nem utilize palavras-passe pessoais para contas de trabalho. Utilize um gestor de palavras-passe para criar e memorizar palavras-passe fortes e exclusivas.
- Para os sistemas que dão acesso a dados sensíveis, imponha uma autenticação que rejeite as passwords fracas e torne obrigatória a autenticação multifactorial .
- Monitorize atividades incomuns. Este número de pesquisas originadas a partir de uma única conta deveria ter sido notado antes.
Os seus dados podem ter sido expostos nesta violação:
- Fique atento às atualizações oficiais sobre o incidente.
- Esteja atento a esquemas de phishing e outras fraudes. Os burlões podem usar dados pessoais para tornar as suas mensagens mais convincentes.
- Leia o nosso blog : Envolvido numa violação de dados? Veja o que precisa de saber .
Dica profissional: utilize Malwarebytes Scam Guard se não tiver a certeza se uma mensagem é legítima. Pode ajudar a determinar se é um esquema e o que fazer a seguir.
Algo parece errado? Verifique antes de clicar.
Malwarebytes Guardajuda-o a analisar instantaneamente links, mensagens de texto e capturas de ecrã suspeitos.
Disponível comMalwarebytes Premium para todos os seus dispositivos e naMalwarebytes para iOS Android.
