Een hacker zegt gegevens van 8,8 miljoen mensen uit het Deense persoonsregister te hebben gedownload. De aanvaller zou daarvoor een beheerdersaccount hebben gebruikt met het wachtwoord 123456.
De toegang liep via een bedrijf dat wettelijk bevoegd is om het bevolkingsregister te raadplegen. De hacker zou bij zeker drie accounts van dat bedrijf zijn gekomen. Een daarvan had beheerdersrechten, waardoor uitgebreide toegang tot het systeem mogelijk was.
De aanvaller zegt 21 dagen toegang te hebben gehad. In die periode zouden onder meer namen, adressen, persoonsnummers en andere persoonsgegevens zijn gedownload. Het zou gaan om gegevens van 5,5 miljoen levende Denen en 3,3 miljoen overleden inwoners.
Onderzoek naar beveiligingsincident
Het Deense Centraal Register van Personen, het CPR, ontdekte het incident op vrijdagavond 2 oktober. De organisatie heeft de toegang van het betrokken bedrijf daarna geblokkeerd en onderzoekt hoe de inbraak kon plaatsvinden.
Het is niet duidelijk welke gegevens daadwerkelijk zijn buitgemaakt en of de volledige omvang van de claim kan worden bevestigd. Ook is niet bekendgemaakt hoelang het zwakke wachtwoord in gebruik was of welke andere beveiligingsmaatregelen rond de accounts waren ingesteld.
Het CPR bevat persoonsgegevens van inwoners van Denemarken. Organisaties die toegang krijgen, kunnen die gegevens voor specifieke wettelijke of administratieve doeleinden raadplegen. Een beheerdersaccount biedt daarbij meer mogelijkheden dan een regulier gebruikersaccount, bijvoorbeeld voor het beheren van toegangsrechten en het raadplegen van grotere hoeveelheden informatie.
De ontdekking heeft geleid tot het afsluiten van de toegang voor het betrokken bedrijf. Het verdere onderzoek moet uitwijzen welke systemen zijn benaderd, welke gegevens zijn ingezien of gedownload en of andere accounts zijn misbruikt. Ook moet blijken of de gestelde aantallen overeenkomen met de bestanden die de aanvaller heeft meegenomen.
