В Дании произошла утечка персональных данных 8,8 млн человек из Центрального реестра физических лиц (CPR). Доступ к реестру получили через небольшую ИТ-компанию Pays ApS с острова Фюн, у которой было легальное подключение к системе для проверки данных корпоративных клиентов.
Хакер, взявший ответственность на себя, утверждает, что использовал пароль 123456. По его словам, он был установлен минимум для трёх учётных записей компании, включая администраторскую. Правительство вопросы о паролях оставило без ответа.
Хронология:
10–20 сентября: злоумышленник выполнил около 14 млн автоматизированных запросов к CPR
2 октября: взлом обнаружен, через 12 дней после последних запросов
4 октября: уведомлён орган по защите данных Datatilsynet
5 октября: власти подтвердили кибератаку и утечку данных 8,8 млн человек
9 октября: руководство Pays подтвердило компрометацию доступа
Атаку заметил сотрудник Министерства высшего образования и науки: он обратил внимание на необычно высокую активность со стороны Pays.
В реестре около 11 млн записей, включая умерших и выехавших за рубеж, поэтому число пострадавших превышает население страны (около 6 млн). Сайт Pays отключён, представитель компании от комментариев отказался.
Хакер сообщил изданию Politiken, что не собирается продавать или публиковать полученные данные.