Ein Hacker behauptet, er habe Dänemarks Zentralregister für Personen (CPR) mittels des schwachen Passworts ‘123456’ an Konten der Pays ApS, einer Zwei-Mann-IT-Firma in Odense mit autorisiertem Zugriff, kompromittiert. Mindestens drei Konten, einschließlich eines Administrators, nutzten dieses Passwort. Dänische Behörden bestätigten den Verstoß am 5.
Oktober, wobei Namen, Adressen und CPR-Nummern von etwa 8,8 Millionen Personen offengelegt wurden, einschließlich Verstorbener und im Ausland. Sophie Laursen, Geschäftsführerin von Pays ApS, bestätigte am 9. Oktober, dass der Unternehmenszugriff missbraucht wurde, und die Website ist nun offline.
Der Angreifer erhielt am 10. September Zugriff und führte bis zum 20. September etwa 14 automatisierte Suchen durch.
Der Verstoß blieb unerkannt, bis am 2. Oktober ein Ministeriumsmitarbeiter ungewöhnliche Aktivitäten von Pays bemerkte. Einige Berichte deuten darauf hin, dass der initiale Zugang über ein gestohlenes Passwort eines ehemaligen Mitarbeiters erfolgte, Details bleiben unklar.
Der Hacker gibt an, er habe keine Absicht, die Daten zu verkaufen oder preiszugeben, aber die Dänische Behörde für öffentliche Sicherheit (Samsic) gibt an, dass CPR-Nummern allein mehr nicht für die Identitätsüberprüfung vertraut werden können. Bürger werden gewarnt, auf Phishing-Versuche mit persönlichen Daten zu achten und ‘123456’ überall zu vermeiden.
Quelle: TechPowerUp News · Zusammengefasst von HeadlinesBriefing