Расследование инцидента безопасности в Дании подтвердило, что утечка записей из Центрального регистра лиц (CPR) произошла через административные учетные записи стороннего IT-подрядчика. Для доступа к ним использовался пароль «123456». По данным расследования, уязвимость оставалась незамеченной десять дней. За этот период злоумышленники выполнили миллионы автоматизированных поисковых запросов. Под угрозой оказались данные 8,8 миллиона граждан. CPR содержит базовые идентификационные сведения: имя, адрес, дату и место рождения, гражданство, семейное положение и семейные связи. Эти данные используются государственными органами, банками, страховыми и медицинскими системами, поэтому компрометация реестра затрагивает не только государственный сектор.
По информации из открытых источников, речь идет о подрядчике KMD, который обслуживает датские муниципалитеты и государственные структуры. KMD подтвердила обнаружение уязвимости в тестовой среде и заявила о ее закрытии. Компания уведомила Датское агентство по защите данных и правоохранительные органы. Датский центр кибербезопасности (CFCS) участвует в проверке. На данном этапе не подтверждено, были ли данные скопированы или выгружены. Расследование продолжает устанавливать объем возможной компрометации и круг пострадавших.
Причиной инцидента стал слабый пароль на привилегированных аккаунтах. В таких системах обычно требуются многофакторная аутентификация, ограничение доступа по IP-адресам, разделение ролей и журналирование всех запросов. Отсутствие этих мер позволило автоматизировать поиск по реестру. Миллионы запросов за десять дней не вызвали своевременной реакции систем мониторинга. Это указывает на недостаточный контроль доступа и слабую интеграцию средств аудита. Аналогичные требования применяются в Эстонии в системе X-Road, где каждый запрос к государственным реестрам проходит аутентификацию и оставляет проверяемый след. В Индии проект Aadhaar использует биометрическую верификацию и централизованный аудит. Датский случай показывает разрыв между формальными требованиями и фактической конфигурацией административных интерфейсов.
Власти Дании пересматривают надежность государственных баз данных и систем верификации. CPR не содержит паролей или биометрических шаблонов, но его номера служат ключом для идентификации в других сервисах. Утечка таких сведений повышает риск мошенничества, фишинга и незаконного доступа к услугам. Для защиты граждан могут усилить требования к подрядчикам, ввести обязательную многофакторную аутентификацию для всех административных аккаунтов и ужесточить аудит. Также обсуждается ограничение массовых выгрузок и введение дополнительных проверок при поиске по CPR. Инцидент затронул 8,8 миллиона записей, что превышает текущее население Дании примерно на 5,9 миллиона человек, поскольку реестр включает исторические данные. Пароль «123456» остается одним из самых распространенных и слабых, а его использование в государственной инфраструктуре создает прямую угрозу. Расследование продолжается, окончательные выводы о масштабе утечки и ответственности подрядчика пока не обнародованы.
