Слабый пароль небольшой ИТ-компании открыл хакеру данные 8,8 млн датчан
3 мин
14
Пароль «123456» помог скомпрометировать персональные данные 8,8 млн жителей Дании. Крупнейшую в истории страны компрометацию допустил Центральный регистр населения Дании (CPR, Det Centrale Personregister). Доступ к государственному реестру злоумышленник получил через стороннюю частную компанию, учётные записи которой были защищены примитивным паролем.
Вектор атаки через цепочку поставок подробно описала датская газета Politiken. Журналисты издания связались непосредственно со взломщиком, который передал редакции материалы утечки. Ему удалось извлечь сведения чуть более 8,7 млн человек. Среди них 5,5 млн ныне живущих и 3,3 млн умерших датчан. Утечка охватила почти всю национальную базу данных. Всего система CPR содержит около 11 млн записей.
Точкой входа для взлома послужила небольшая компания Pays, зарегистрированная на острове Фюн. Она занимается обработкой данных в разных форматах. В июле 2026 года в компании числились два работника. Ранее она предлагала клиентам услуги по обновлению адресов и проверке сведений о смерти людей в данных реестра.
Как и многие другие частные организации, Pays имела право запрашивать в реестре данные граждан на основании подтверждённого законного интереса. Оказалось, что как минимум три корпоративных аккаунта с прямым доступом к базе использовали пароль «123456». Из одного злоумышленник вошёл в реестр под видом доверенной организации и на протяжении сентября беспрепятственно копировал персональные данные граждан через штатный интерфейс поиска.
Факт атаки подтвердила генеральный директор и владелица Pays ApS Софи Лаурсен. В письме телеканалу TV 2 она сообщила, что посторонние воспользовались законным доступом её компании к поиску сведений в системе CPR. Софи Лаурсен отметила, что фирма серьёзно относится к случившемуся и тесно сотрудничает с ведомствами, занимающимися расследованием инцидента.
Злоумышленник пользовался доступом к реестру в общей сложности 21 день и 17 часов. Он создал две программы, которые находили сведения CPR и сохраняли их вне системы. Хакер также заявил, что не планирует продавать или публиковать полученные данные. Однако все эти утверждения СМИ приводят как рассказ предполагаемого взломщика, а не установленные следствием обстоятельства.
Доступ компании Pays к реестру уже полностью заблокирован. В официальном заявлении министерства высшего образования, науки и цифровизации Дании сообщается, что уведомление об инциденте направлено в датскую инспекцию по защите данных Datatilsynet, а полиция и профильные службы ведут расследование. Министр высшего образования, науки и цифровизации Дании Кристина Эгелунд проинформировала профильный комитет парламента и потребовала провести внеплановый технический аудит CPR.
