Una massiccia fuga di dati in Danimarca ha esposto quasi 9 milioni di record personali, derivante da una grave negligenza nella sicurezza degli account presso Pays ApS. L'uso di password estremamente deboli, come '123456', ha facilitato l'accesso non autorizzato a dati sensibili del Registro Centrale delle Persone.
Una grave violazione di dati ha recentemente scosso la Danimarca, portando all'esposizione di circa 8.8 milioni di record personali. L'incidente, attribuito a una sicurezza degli account gravemente inadeguata presso Pays ApS, una società IT con sede a Odense, ha messo in luce le pericolose conseguenze dell'uso di credenziali deboli. Le indagini hanno rivelato che almeno tre account aziendali, inclusi quelli con privilegi di amministratore, utilizzavano la password "123456", una delle combinazioni più comuni e insicure al mondo.
I dati compromessi includono numeri del Registro Centrale delle Persone (CPR) danese e indirizzi. Secondo le informazioni emerse, l'attaccante avrebbe fornito un dataset contenente 8.749.975 record, confermando le stime iniziali di circa 8.8 milioni di record. Questo archivio conterrebbe informazioni su approssimativamente 5.5 milioni di persone viventi e 3.3 milioni di individui deceduti.
È fondamentale chiarire che Pays ApS deteneva un'autorizzazione legittima per accedere al sistema CPR danese, che funge da database centrale per la registrazione civile. L'incidente non ha comportato un attacco diretto all'infrastruttura del registro, ma piuttosto un abuso di questo accesso autorizzato, sfruttando le vulnerabilità nella gestione delle credenziali dell'azienda.
Secondo la versione fornita dall'attaccante, l'intrusione è iniziata dopo aver scoperto una password trapelata appartenente a un ex dipendente. Sfruttando questa credenziale, l'individuo sarebbe riuscito ad accedere al sistema CPR tramite l'account di Pays ApS. Successivamente, avrebbe sviluppato due programmi specifici per estrarre le informazioni personali, salvandole al di fuori del database originale.
Pays ApS ha confermato che il proprio accesso autorizzato è stato oggetto di abuso. La direttrice e proprietaria, Sophie Laursen, ha ammesso l'attacco in una comunicazione via email. L'attaccante ha dichiarato che l'accesso è iniziato il 10 settembre e si è protratto per 21 giorni e 17 ore. Tuttavia, le autorità danesi hanno indicato un periodo di accesso non autorizzato di circa dieci giorni nel corso dello stesso mese di settembre. Queste discrepanze temporali necessitano di ulteriori indagini per essere chiarite.
Questo incidente evidenzia in modo preoccupante come la compromissione di un singolo account di terze parti possa portare all'esposizione di una vasta quantità di informazioni sensibili, anche quando l'accesso iniziale è legittimo. L'uso di password facilmente intuibili su più account, specialmente quelli con privilegi amministrativi, solleva seri interrogativi sui controlli delle credenziali adottati dall'azienda e sulla loro efficacia.
Sebbene i numeri CPR esposti non consentano automaticamente agli aggressori di accedere all'identità digitale dei cittadini danesi, grazie al sistema di autenticazione MitID, i criminali potrebbero comunque sfruttare queste informazioni. Combinando i numeri di identificazione e gli indirizzi con altri dati eventualmente trafugati, potrebbero creare profili dettagliati delle vittime o elaborare messaggi di phishing estremamente convincenti, aumentando il rischio di ulteriori frodi.
L'attaccante ha dichiarato di non avere intenzione di vendere o pubblicare le informazioni rubate. Tuttavia, questa affermazione non offre alcuna garanzia che copie non autorizzate non vengano diffuse o utilizzate in modo improprio in futuro, rendendo la situazione potenzialmente più grave.
L'incidente sottolinea l'importanza delle raccomandazioni di enti internazionali come il NIST (National Institute of Standards and Technology), che suggerisce di sottoporre le password, sia nuove che modificate, a controlli incrociati con liste di password comuni, attese o già compromesse. Bloccare credenziali prevedibili è una misura fondamentale, specialmente in contesti che gestiscono dati sensibili come quello emerso in questa vicenda.
Al momento, non vi sono prove concrete che i dati esposti siano stati utilizzati per attività fraudolente, né che il sistema MitID sia stato compromesso. Tuttavia, la vastità dei dati esposti e la natura sensibile delle informazioni (come i numeri CPR) rendono questo incidente particolarmente grave. Serve come un monito per le aziende sull'importanza di implementare robuste politiche di gestione degli accessi e di sicurezza delle password, nonché di effettuare regolari audit di sicurezza per prevenire simili accadimenti.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
