یک گذرواژه بسیار ساده، یعنی 123456، طبق ادعای فردی که مسئولیت یک حمله سایبری را بر عهده گرفته، در رخنه‌ای امنیتی به ثبت احوال ملی دانمارک نقش داشته است؛ رخدادی که اطلاعات حدود ۸٫۸ میلیون رکورد را در معرض دسترسی غیرمجاز قرار داد. مقام‌های دانمارکی وقوع این حادثه را تأیید کرده‌اند، اما جزئیات مربوط به رمز عبور از روایت مهاجم و گزارش رسانه‌ها به دست آمده و هنوز همه آن‌ها به‌طور رسمی تأیید نشده‌اند. این اتفاق بار دیگر اهمیت امنیت حساب‌های کاربری، کنترل دسترسی و نظارت بر فعالیت‌های مشکوک را نشان می‌دهد.
رمز عبور ضعیف چگونه به اطلاعات میلیون‌ها نفر راه پیدا کرد؟
بر اساس گزارش رسانه‌های فناوری، این رخنه از طریق شرکت دانمارکی Pays ApS رخ داده است؛ شرکتی که دسترسی مجاز به سامانه ثبت احوال مرکزی دانمارک، موسوم به CPR، داشت و خدماتی برای بررسی و به‌روزرسانی اطلاعات مشتریان تجاری ارائه می‌کرد.
فردی که خود را مسئول حمله معرفی کرده، گفته است با استفاده از حسابی محافظت‌شده با رمز 123456 توانسته به این مسیر دسترسی پیدا کند. گزارش‌ها همچنین حاکی از آن هستند که چند حساب کاربری شرکت از گذرواژه یکسان استفاده می‌کردند؛ حتی گفته شده یکی از آن‌ها حساب مدیریتی بوده است.
شرکت Pays تأیید کرده که دسترسی قانونی آن به سامانه مورد سوءاستفاده قرار گرفته است. بااین‌حال، ادعای مربوط به گذرواژه و تمام جزئیات نحوه ورود، لزوماً به معنای تأیید مستقل همه مراحل حمله نیست.
چه اطلاعاتی در این حمله افشا شد؟
سامانه CPR یکی از پایگاه‌های مهم اطلاعات هویتی در دانمارک است. بر اساس گزارش‌های منتشرشده، داده‌های استخراج‌شده شامل اطلاعاتی مانند نام، نشانی و شماره شناسایی ملی افراد بوده است.
مهم‌ترین جزئیات گزارش‌شده عبارت‌اند از:
حدود ۸٫۸ میلیون رکورد: تعداد رکوردهایی که اطلاعاتشان در این رخداد مورد دسترسی غیرمجاز قرار گرفته است.
اطلاعات هویتی: نام، نشانی و شماره شناسایی CPR از جمله داده‌های گزارش‌شده هستند.
افراد زنده و درگذشته: تعداد رکوردها از جمعیت فعلی دانمارک بیشتر است، زیرا پایگاه اطلاعاتی شامل سوابق افراد درگذشته و برخی افراد دیگر نیز می‌شود.
استخراج گسترده اطلاعات: گزارش‌ها از انجام حدود ۱۴ میلیون جست‌وجوی خودکار در سامانه خبر می‌دهند.
بنابراین، رقم ۸٫۸ میلیون به تعداد رکوردهای تحت تأثیر اشاره دارد و نباید آن را معادل تعداد شهروندان فعلی دانمارک دانست. همچنین دسترسی غیرمجاز به داده‌ها لزوماً به معنای انتشار عمومی تمام اطلاعات یا فروش آن‌ها نیست.
