Un accés no autoritzat al registre central de població de Dinamarca ha permès l’extracció de dades personals de devers 8,8 milions de ciutadans a través d’un compte privat protegit amb la contrasenya «123456». La bretxa de seguretat es va produir entre el 10 i el 20 de setembre, període durant el qual es varen efectuar prop de 14 milions de consultes automàtiques sense que els sistemes d’alerta de l’administració danesa detectassin la intrusió de manera immediata.
L’origen de la filtració es troba en l’ús indegut de les credencials d’accés legal de la companyia informàtica danesa Pays ApS, que disposava de permís per consultar el registre per verificar la identitat de clients. Segons informacions publicades per mitjans locals, l’atacant va utilitzar un correu vinculat a un antic empleat de l’empresa amb la clau per defecte. Les investigacions indiquen que almenys tres comptes de la companyia empraven aquesta mateixa clau de seguretat, la qual ja havia aparegut prèviament en filtracions de dades públiques.
L’activitat anòmala no es va detectar durant la intrusió sinó el 2 d’octubre, quan un treballador del ministeri va revisar una factura d’ús de la firma informàtica amb una quantitat de consultes inusualment elevada. Finalment, l’administració del registre poblacional va confirmar la bretxa el 5 d’octubre, tot informant que s’havien afectat noms, adreces i números d’identificació personal. Malgrat la gravetat de l’incident, l’autor de la intrusió ha declarat a la premsa que no té la intenció de vendre ni de publicar la informació obtinguda.
El registre civil danès manté actualment devers 11 milions de fitxers, atès que inclou també persones difuntes i residents a l’estranger. Aquest incident posa de manifest la vulnerabilitat dels sistemes públics quan la seguretat depèn d’entitats privades autoritzades que no apliquen protocols bàsics de protecció de dades.
Font: Xataka
Imatge il·lustrativa.
