Per colpa di una password «123456» 8,8 milioni di danesi sono stati esposti

Una violazione di dati ha colpito 8,8 milioni di danesi. La causa è una password debole, «123456», usata su tre account di Pays ApS, azienda IT con accesso al Registro Centrale delle Persone Fisiche (CPR). L'hacker ha eseguito 14 milioni di richieste automatizzate tra il 10 e il 20 settembre. L'attacco è stato scoperto il 2 ottobre.

I media danesi hanno riportato una fuga di dati personali riguardanti 8,8 milioni di cittadini. La causa è da ricondursi a degli account poco protetti in una piccola azienda IT, attraverso cui un hacker criminale ha ottenuto accesso al Registro Centrale delle Persone Fisiche della Danimarca (CPR). L’hacker che ha rivendicato la responsabilità dell’attacco afferma di aver utilizzato la password «123456», impostata come minimo per tre account dell’azienda, inclusa l’account dell’amministratore.

Il 5 ottobre, l’amministrazione del CPR ha confermato la fuga di dati riguardanti 8,8 milioni di persone, precisando che l’accesso illegittimo è avvenuto tramite un accesso legittimo di una delle aziende danesi al sistema del registro. Il nome dell’azienda Pays ApS, con sede sull’isola di Fyn, non è stato ufficialmente reso pubblico, ma il 9 ottobre la sua dirigenza ha confermato la compromissione dell’accesso.

L’azienda Pays aveva un accesso autorizzato al sistema CPR per fornire servizi informativi, come la verifica dei dati dei clienti aziendali. Secondo i documenti resi pubblici, l’hacker ha ottenuto accesso al sistema CPR il 10 settembre e, nel periodo fino al 20 settembre, ha eseguito 14 milioni di richieste di ricerca automatizzate. L’attacco è stato rilevato il 2 ottobre, 12 giorni dopo l’ultimo registro delle richieste.

L’attacco è stato scoperto dopo che un dipendente del Ministero dell’Istruzione Superiore e della Scienza ha notato un’attività insolita da parte di Pays. L’Autorità Danese per la Protezione dei Dati (Datatilsynet) è stata informata il 4 ottobre, e il giorno successivo il governo ha ufficialmente riconosciuto il fatto del cyberattacco.

Secondo la dichiarazione del governo danese, sono stati accessi i dati di 8,8 milioni di persone. La popolazione del paese è di circa 6 milioni di persone. Nel registro sono contenute circa 11 milioni di voci, inclusi i dati di persone decedute e di persone emigrate all’estero. Il governo non ha risposto alle domande riguardanti i presunti problemi di sicurezza delle password.

Il sito web dell’azienda Pays è attualmente disattivato. Un rappresentante dell’azienda si è astenuto dal fare commenti. L’hacker ha comunicato al giornale danese Politiken di non aver pianificato di vendere o pubblicare i dati ottenuti.

Carolina Vivianti

Carolina Vivianti è consulente/Advisor autonomo in sicurezza informatica con esperienza nel settore tech e security. Ha lavorato come Security Advisor per Ford EU/Ford Motor Company e Vodafone e ha studi presso la Sapienza Università di Roma.

Aree di competenza: Cybersecurity, IT Risk Management, Security Advisory, Threat Analysis, Data Protection, Cloud Security, Compliance & Governance