🇩🇰 Данные 8,8 миллиона датчан утекли через пароль «123456». И это ещё не самое смешное
Крупнейшая утечка персональных данных в истории Дании. Из центрального реестра населения CPR вытащили имена, адреса и личные номера граждан — это что-то среднее между нашим СНИЛС и паспортными данными, по нему в стране завязано примерно всё.
Начнём с цифры, которая сама по себе звучит странно.
В Дании живёт около шести миллионов человек. А утекли данные восьми целых восьми десятых миллиона.
Фокус в том, что реестр хранит одиннадцать миллионов записей — включая умерших и тех, кто давно уехал из страны. Так что утечка задела даже тех, кого уже нет. Восемьдесят процентов всей базы.
Теперь как это произошло.
Напрямую реестр никто не ломал. Злоумышленник зашёл через небольшую IT-компанию Pays ApS, у которой был законный доступ к базе. Классическая схема: не лезь в крепость, зайди через подрядчика.
В компании на июль этого года работало два человека.
Два сотрудника. Законный доступ к данным всей страны.
И вот тут начинается то, ради чего мы вообще это пишем.
По меньшей мере на трёх учётных записях компании стоял пароль «123456». Включая админскую.
То есть паролей с «123456» в компании было больше, чем сотрудников.
Дальше по списку:
🔹 Двухфакторной защиты не было вообще
🔹 Страница входа в систему лежала в открытом доступе
🔹 Этот самый пароль, по данным датских журналистов, уже светился в одной из прошлых утечек — то есть он был не просто плохим, он был заранее известным плохим
🔹 Сама компания в рекламе описывала себя как специалистов по защите данных высочайшего уровня
Последний пункт перечитайте ещё раз. Фирма, продающая защиту данных, хранила ключи от базы всей страны под паролем, который стоит первым в любом списке для перебора.
Кстати, именно перебором всё и делалось: злоумышленник просто подбирал существующие номера граждан и выкачивал к ним карточки.
Как отреагировали
Сайт компании сейчас не работает. Комментировать историю с паролем там отказались.
Датское правительство утечку подтвердило официально — министр по цифровым вопросам назвала инцидент крайне серьёзным и признала, что уровень защиты был недостаточным😀. Но на вопросы журналистов о том, как подрядчик с такой парольной политикой вообще получил доступ к реестру, власти тоже предпочли не отвечать.
Понять их можно. Что тут скажешь.
Последствия для обычных людей
За одну неделю число датчан, оформивших предупреждение в кредитных бюро для защиты от мошенников, выросло с 250 тысяч до почти 970 тысяч. Почти в четыре раза.
Человек, взявший ответственность за взлом, заявил газете Politiken, что продавать или публиковать данные не собирается. Верить ему, конечно, можно ровно настолько же, насколько надёжен пароль «123456».
Немного контекста напоследок
В мае этого года немецкие исследователи в очередной раз назвали «123456» самым популярным паролем в мире. Несмотря на то, что про опасность знают буквально все.
И это не единичная история: примерно тем же паролем недавно отличился сервис подбора персонала McDonald's — под угрозой оказались данные более 60 миллионов человек.
Мораль, которая касается уже нас с вами
Вы можете придумать себе сколь угодно сложный пароль, включить двухфакторку и никому не говорить код из СМС. Но ваши данные всё равно лежат ещё в десятке мест, куда их передали — в банках, магазинах, поликлиниках, у подрядчиков этих организаций.
И безопасны они ровно настолько, насколько ленив самый ленивый сотрудник в этой цепочке.
В Дании им оказался человек из компании с двумя работниками.
Крупнейшая утечка персональных данных в истории Дании. Из центрального реестра населения CPR вытащили имена, адреса и личные номера граждан — это что-то среднее между нашим СНИЛС и паспортными данными, по нему в стране завязано примерно всё.
Начнём с цифры, которая сама по себе звучит странно.
В Дании живёт около шести миллионов человек. А утекли данные восьми целых восьми десятых миллиона.
Фокус в том, что реестр хранит одиннадцать миллионов записей — включая умерших и тех, кто давно уехал из страны. Так что утечка задела даже тех, кого уже нет. Восемьдесят процентов всей базы.
Теперь как это произошло.
Напрямую реестр никто не ломал. Злоумышленник зашёл через небольшую IT-компанию Pays ApS, у которой был законный доступ к базе. Классическая схема: не лезь в крепость, зайди через подрядчика.
В компании на июль этого года работало два человека.
Два сотрудника. Законный доступ к данным всей страны.
И вот тут начинается то, ради чего мы вообще это пишем.
По меньшей мере на трёх учётных записях компании стоял пароль «123456». Включая админскую.
То есть паролей с «123456» в компании было больше, чем сотрудников.
Дальше по списку:
🔹 Двухфакторной защиты не было вообще
🔹 Страница входа в систему лежала в открытом доступе
🔹 Этот самый пароль, по данным датских журналистов, уже светился в одной из прошлых утечек — то есть он был не просто плохим, он был заранее известным плохим
🔹 Сама компания в рекламе описывала себя как специалистов по защите данных высочайшего уровня
Последний пункт перечитайте ещё раз. Фирма, продающая защиту данных, хранила ключи от базы всей страны под паролем, который стоит первым в любом списке для перебора.
Кстати, именно перебором всё и делалось: злоумышленник просто подбирал существующие номера граждан и выкачивал к ним карточки.
Как отреагировали
Сайт компании сейчас не работает. Комментировать историю с паролем там отказались.
Датское правительство утечку подтвердило официально — министр по цифровым вопросам назвала инцидент крайне серьёзным и признала, что уровень защиты был недостаточным😀. Но на вопросы журналистов о том, как подрядчик с такой парольной политикой вообще получил доступ к реестру, власти тоже предпочли не отвечать.
Понять их можно. Что тут скажешь.
Последствия для обычных людей
За одну неделю число датчан, оформивших предупреждение в кредитных бюро для защиты от мошенников, выросло с 250 тысяч до почти 970 тысяч. Почти в четыре раза.
Человек, взявший ответственность за взлом, заявил газете Politiken, что продавать или публиковать данные не собирается. Верить ему, конечно, можно ровно настолько же, насколько надёжен пароль «123456».
Немного контекста напоследок
В мае этого года немецкие исследователи в очередной раз назвали «123456» самым популярным паролем в мире. Несмотря на то, что про опасность знают буквально все.
И это не единичная история: примерно тем же паролем недавно отличился сервис подбора персонала McDonald's — под угрозой оказались данные более 60 миллионов человек.
Мораль, которая касается уже нас с вами
Вы можете придумать себе сколь угодно сложный пароль, включить двухфакторку и никому не говорить код из СМС. Но ваши данные всё равно лежат ещё в десятке мест, куда их передали — в банках, магазинах, поликлиниках, у подрядчиков этих организаций.
И безопасны они ровно настолько, насколько ленив самый ленивый сотрудник в этой цепочке.
В Дании им оказался человек из компании с двумя работниками.
