В Дании произошла масштабная утечка персональных данных, затронувшая около 8,8 миллиона человек. Злоумышленник сумел получить доступ к Центральному реестру физических лиц страны (CPR) через учётные записи небольшой IT-компании Pays ApS, обладавшей законным разрешением на работу с государственной базой. По утверждению самого хакера, серьёзную систему защиты удалось обойти благодаря элементарному паролю «123456», который использовался как минимум в трёх аккаунтах компании, включая административный.

За десять дней злоумышленник выполнил около 14 миллионов автоматизированных запросов к государственному реестру, а подозрительную активность обнаружили лишь спустя почти две недели после завершения операции. Инцидент продемонстрировал, насколько уязвимой может оказаться даже национальная информационная инфраструктура, если доступ к ней предоставляется сторонним организациям с недостаточно надёжной защитой. При этом количество затронутых записей превысило численность населения Дании, поскольку государственная база содержит сведения не только о действующих жителях страны, но и об умерших гражданах и людях, переехавших за границу.

Как небольшая IT-компания стала точкой входа в государственный реестр

Центральный реестр физических лиц Дании, известный как CPR (Det Centrale Personregister), представляет собой одну из важнейших государственных информационных систем страны. В нём хранятся регистрационные сведения о миллионах людей, включая информацию, необходимую для работы государственных учреждений и уполномоченных организаций.

Доступ к отдельным функциям реестра могут получать коммерческие компании, которым такие сведения необходимы для выполнения законных операций.

Одной из подобных организаций являлась Pays ApS — небольшая датская IT-компания, расположенная на острове Фюн. Она обладала официальным разрешением на обращение к CPR и предоставляла информационные услуги, в том числе связанные с проверкой данных корпоративных клиентов.

Именно этот легальный канал доступа, согласно опубликованной информации, оказался скомпрометирован.

Вместо непосредственного взлома центральной государственной инфраструктуры атакующий воспользовался учётными записями сторонней организации. После их компрометации он смог отправлять запросы к реестру через предусмотренный механизм взаимодействия.

Подобный сценарий особенно опасен для государственных информационных систем: даже хорошо защищённая центральная платформа может оказаться уязвимой из-за недостатков безопасности у подключённых партнёров.

Пароль «123456» мог стать причиной масштабного инцидента

Наиболее примечательной деталью происшествия стало заявление человека, взявшего на себя ответственность за атаку.

По его словам, для получения доступа использовался пароль «123456» — одна из самых распространённых и небезопасных комбинаций в мире.

Злоумышленник утверждает, что такой пароль был установлен как минимум для трёх учётных записей Pays ApS. Среди них находился и аккаунт с административными полномочиями.

Если эти сведения подтвердятся, инцидент станет показательным примером того, как пренебрежение базовыми правилами информационной безопасности способно привести к последствиям национального масштаба.

Простые последовательности цифр давно присутствуют в словарях, используемых для автоматизированного подбора паролей. Их применение особенно рискованно для административных учётных записей и систем, связанных с персональными данными.

Однако важно учитывать, что информация о конкретном пароле исходит от предполагаемого участника атаки. Официального подтверждения того, что именно комбинация «123456» стала непосредственной причиной компрометации, в опубликованных заявлениях датских властей не приводилось.

Представители правительства также не дали подробных ответов на вопросы о предполагаемых недостатках парольной защиты.

Десять дней доступа и 14 миллионов запросов

Согласно документам, ставшим достоянием общественности, несанкционированная активность началась 10 сентября.

Получив возможность взаимодействовать с CPR через скомпрометированные учётные записи, злоумышленник организовал массовое автоматизированное получение информации.

В период с 10 по 20 сентября система зарегистрировала приблизительно 14 миллионов поисковых запросов.

Столь значительный объём обращений указывает на масштабный характер операции. Вместо единичного поиска сведений атакующий использовал автоматизацию, позволявшую последовательно обращаться к большому количеству записей.

При этом число запросов не следует приравнивать к количеству уникальных людей, чьи данные оказались затронуты. Один человек мог фигурировать в нескольких обращениях, а отдельные запросы могли не приводить к получению новых сведений.

Особое беспокойство вызывает продолжительность периода, в течение которого необычная активность оставалась незамеченной.

Последние подозрительные запросы были зафиксированы 20 сентября, однако факт нарушения обнаружили только 2 октября — спустя 12 дней.

Таким образом, между началом предполагаемой атаки и её выявлением прошло более трёх недель.

Подозрительную активность заметили в государственном ведомстве

Обнаружить возможную компрометацию удалось благодаря внимательности сотрудника Министерства высшего образования и науки Дании.

Он обратил внимание на аномально большое количество запросов, поступавших от Pays ApS. Активность компании существенно отличалась от ожидаемого характера использования государственного реестра, что стало поводом для дальнейшего разбирательства.

После выявления подозрительных операций началась процедура уведомления ответственных органов.

Хронология последующих событий выглядела следующим образом:

• 2 октября — обнаружена необычная активность, связанная с доступом Pays ApS к CPR.

• 4 октября — информация об инциденте передана датскому органу по защите персональных данных Datatilsynet.

• 5 октября — администрация CPR официально подтвердила факт масштабной утечки.

• 9 октября — руководство Pays ApS признало компрометацию доступа компании к государственной системе.

При первоначальном официальном сообщении название организации, через которую произошла утечка, не раскрывалось.

Позднее стало известно, что речь идёт о Pays ApS, руководство которой подтвердило факт нарушения безопасности.

Этот случай также продемонстрировал значение контроля аномальной активности. Даже при наличии официальных прав доступа необычно большое количество обращений к персональным данным должно становиться основанием для дополнительной проверки.

Почему утечка затронула больше людей, чем проживает в Дании

Одной из наиболее необычных особенностей инцидента стало количество затронутых записей.

По официальной информации, несанкционированный доступ коснулся сведений примерно 8,8 миллиона человек, хотя население Дании составляет около 6 миллионов.

На первый взгляд подобное расхождение может показаться ошибкой, однако оно объясняется особенностями государственного реестра.

CPR представляет собой не просто перечень граждан, проживающих в стране в настоящий момент. Система сохраняет регистрационные сведения за продолжительный период и содержит информацию о людях, которые ранее были связаны с Данией.

В частности, в базе присутствуют записи об умерших, а также о лицах, выехавших за пределы страны.

Общее количество записей в реестре оценивается примерно в 11 миллионов.

Следовательно, утечка затронула значительную часть всей накопленной информационной базы, а не только сведения о нынешнем населении государства.

При этом точный состав полученных злоумышленником персональных данных в представленной информации не раскрывается. Поэтому утверждать, что были похищены абсолютно все сведения из каждой затронутой записи, было бы преждевременно.

Какие угрозы создаёт компрометация государственного реестра

Утечки из централизованных государственных баз потенциально опаснее многих обычных инцидентов, связанных с коммерческими сервисами.

Такие системы могут содержать регистрационные идентификаторы и другие сведения, которые используются для подтверждения личности, взаимодействия с государственными учреждениями и выполнения административных процедур.

В Дании важную роль играет персональный номер CPR, применяемый во множестве государственных и частных процессов.

Если злоумышленники получают доступ к сочетанию идентификационных и персональных сведений, это потенциально создаёт условия для мошенничества, подбора дополнительных данных о человеке и проведения целевых атак с использованием социальной инженерии.

Однако фактические риски напрямую зависят от того, какие именно поля реестра были доступны и какая информация действительно оказалась скопирована.

Само по себе наличие персонального номера не означает возможности автоматически получить доступ к банковским счетам или государственным электронным сервисам. Для таких операций обычно требуются дополнительные механизмы подтверждения личности.

Тем не менее массовая компрометация регистрационных сведений остаётся серьёзной проблемой, поскольку подобные данные зачастую невозможно просто заменить, как обычный пароль.

Хакер утверждает, что не собирается публиковать похищенные сведения

После появления информации об инциденте предполагаемый организатор атаки связался с датским изданием Politiken.

В разговоре с журналистами он заявил, что не намеревался продавать полученные сведения или размещать их в открытом доступе.

Однако подобное заявление не гарантирует безопасность затронутых людей.

Даже если злоумышленник действительно не планировал распространять информацию, остаются вопросы о том, где хранятся полученные данные, существуют ли их копии и могли ли к ним получить доступ третьи лица.

Кроме того, намерения человека, заявившего о своей причастности к атаке, невозможно считать надёжной гарантией дальнейшей конфиденциальности информации.

На фоне разбирательства официальный сайт Pays ApS оказался недоступен.

Представитель компании воздержался от дополнительных комментариев относительно произошедшего.

Почему безопасность партнёров становится критически важной

История с датским реестром CPR наглядно показывает одну из системных проблем современной цифровой инфраструктуры.

Крупные государственные и корпоративные платформы редко функционируют полностью изолированно. Для предоставления услуг они взаимодействуют с подрядчиками, партнёрами, поставщиками программного обеспечения и другими организациями.

Каждое такое подключение расширяет круг потенциальных точек доступа к защищённой информации.

Даже если центральная система использует современные средства безопасности, недостаточно защищённая учётная запись партнёра может стать удобным инструментом для злоумышленника.

Поэтому защита персональных данных должна распространяться не только на основной реестр, но и на все организации, которым предоставлены права взаимодействия с ним.

Особое значение имеют многофакторная аутентификация, ограничение полномочий учётных записей, контроль частоты запросов, автоматическое выявление подозрительной активности и регулярный аудит партнёрских подключений.

Дополнительным механизмом защиты может стать оперативная блокировка доступа при резком изменении характера обращений к информационной системе.

Такие меры не исключают вероятность атак полностью, но способны существенно ограничить их масштаб и продолжительность.

Главный урок утечки: защищённость системы зависит от каждого участника

Инцидент в Дании стал примером того, насколько серьёзными могут оказаться последствия компрометации небольшой организации, имеющей доступ к критически важным государственным данным.

По опубликованным сведениям, злоумышленник смог использовать легальный канал взаимодействия с CPR, выполнить миллионы запросов и получить доступ к информации о 8,8 миллиона человек.

При этом предполагаемая причина проникновения выглядит особенно тревожно: если слова хакера подтвердятся, отправной точкой одной из крупнейших утечек в стране окажется использование элементарного пароля.

Главный вывод заключается в том, что безопасность национальных информационных систем определяется не только уровнем защиты государственных серверов, но и надёжностью каждого подключённого партнёра.

Даже самые современные технологии не смогут обеспечить необходимую защиту, если административные аккаунты используют слабые пароли, а необычная активность остаётся без своевременной реакции.

История с CPR напоминает, что масштабные киберинциденты далеко не всегда требуют сложных технических методов. Иногда для серьёзных последствий достаточно одной недостаточно защищённой точки входа.