В Дании подтвердили масштабную кибератаку, в результате которой злоумышленник получил доступ к данным примерно 8,8 млн человек через учетные записи небольшой ИТ-компании. Хакер утверждает, что использовал пароль «123456», установленный как минимум для трех аккаунтов, включая учетную запись администратора.

5 октября датские власти официально подтвердили утечку. По их данным, злоумышленник воспользовался законным доступом внешней компании к национальному реестру населения CPR.

Позже стало известно, что речь идет о Pays ApS — небольшой ИТ-компании с острова Фюн, которая предоставляет корпоративным клиентам услуги по проверке информации. 9 октября руководство компании подтвердило, что системы доступа были скомпрометированы.

Согласно опубликованным документам, злоумышленник проник в систему 10 сентября. В течение следующих десяти дней он провел около 14 млн автоматизированных запросов.

Необычная активность оставалась незамеченной несколько дней. Последние запросы зафиксировали 20 сентября, однако атаку обнаружили только 2 октября. На большое число обращений через Pays обратил внимание сотрудник датского Министерства высшего образования и науки.

4 октября об инциденте сообщили датскому органу по защите персональных данных Datatilsynet, а на следующий день правительство публично подтвердило кибератаку.

Масштаб утечки особенно велик по сравнению с населением Дании, которое составляет около 6 млн человек. В реестре CPR хранятся сведения не только о ныне живущих гражданах, но также об умерших и людях, покинувших страну. Всего в реестре содержится примерно 11 млн записей, а неправомерный доступ был получен к данным 8,8 млн человек.

Датские власти не сообщили конкретных деталей о возможных недостатках в защите паролей. Утверждение хакера об использовании пароля «123456» пока не получило независимого подтверждения.

После раскрытия инцидента сайт Pays отключили, а представитель компании отказался от дополнительных комментариев. При этом хакер заявил датскому изданию Politiken, что не намерен продавать или публиковать полученную информацию.

Случай показывает, насколько серьезными могут быть последствия недостаточной защиты внешних подрядчиков, работающих с чувствительными государственными системами. Даже хорошо защищенный национальный реестр может оказаться уязвимым, если доступ к нему получает организация, не применяющая достаточно строгие меры безопасности.