Dania: wyciek danych 8,8 mln osób z rejestru CPR przez konto prywatnej firmy

Duńskie ministerstwo cyfryzacji poinformowało o jednym z największych wycieków danych w historii kraju. Napastnicy pobrali z Centralnego Rejestru Osób (CPR) dane około 8,8 miliona osób, czyli mniej więcej 80% wszystkich wpisów w rejestrze liczącym około 11 milionów rekordów.

Jak do tego doszło

Rejestru nikt nie „zhakował” w klasycznym sensie. Napastnicy wykorzystali legalny dostęp prywatnej duńskiej firmy, która była uprawniona do korzystania z CPR. Przez około 10 dni we wrześniu wykonywali automatyczne zapytania, sprawdzając kolejne numery identyfikacyjne. Nietypowy ruch zauważył pracownik administracji rejestru w piątek 2 października. Sprawę ujawniono publicznie 5 października.

Jakie dane wyciekły

• imiona i nazwiska,
• adresy,
• numery CPR, czyli odpowiednik naszego numeru PESEL.

Wyciek obejmuje osoby żyjące, zmarłe oraz te, które wyprowadziły się z kraju. Nie objął osób z ochroną danych adresowych.

Reakcja władz

Firmie odebrano dostęp do rejestru, sprawę zgłoszono do duńskiego urzędu ochrony danych (Datatilsynet), policja wszczęła postępowanie, a minister Christina Egelund zleciła pełny przegląd bezpieczeństwa. Obywatelom zalecono czujność wobec wyłudzeń, nieklikanie podejrzanych linków, nieudostępnianie danych logowania do MitID oraz ustawienie zastrzeżenia kredytowego. Uruchomiono też specjalną infolinię.

Lekcja dla Polski

Ten wyciek nie wymagał żadnej luki w systemie rządowym. Wystarczyło, że jeden podmiot z dostępem miał słabsze zabezpieczenia. Trzy wnioski dla każdej organizacji, która udostępnia dane partnerom lub sama z cudzych danych korzysta:

1. Limity i wykrywanie anomalii. Dziesięć dni masowych zapytań to za długo. Progi liczby zapytań na konto i alerty o nietypowym ruchu powinny zadziałać po godzinach, nie po tygodniu.
2. Minimalny zakres dostępu. Partner powinien widzieć tylko to, czego naprawdę potrzebuje, i tylko w takim tempie, jakie wynika z jego pracy.
3. Zarządzanie dostępem stron trzecich. Kto ma klucze, jak są chronione (MFA, ograniczenie adresów IP) i kiedy ostatnio to sprawdzano? NIS2 wprost wymaga oceny ryzyka w łańcuchu dostaw.

W Polsce warto przypomnieć o bezpłatnym zastrzeżeniu numeru PESEL w aplikacji mObywatel. To prosty sposób, by ograniczyć skutki takiego wycieku.

Źródła: The Hacker News, The Copenhagen Post, SecurityWeek