Дания: атакующие получили доступ к данным CPR 8,8 млн человек через аккаунт компании
Министерство цифровизации Дании 5 октября сообщило о несанкционированном доступе к национальному регистру населения Central Person Register (CPR). Злоумышленники получили имена, адреса и личные идентификационные номера примерно 8,8 млн человек — как живых, так и умерших. Доступ был осуществлён через законное право частной датской компании на поиск записей в CPR.
Подробности
По данным министерства, атакующие воспользовались законным правом частной датской компании на поиск записей в Central Person Register (CPR). Именно легитимный доступ к регистру стал вектором атаки: злоумышленники не взламывали инфраструктуру CPR напрямую, а использовали предоставленный компании механизм запросов к базе. В результате несанкционированного доступа были скомпрометированы имена, адреса и личные идентификационные номера (CPR-номера) примерно 8,8 млн человек. Важная особенность инцидента — среди пострадавших числятся как живые граждане, так и умершие: регистр CPR содержит записи обо всех людях, когда-либо зарегистрированных в Дании. CPR-номер — уникальный идентификатор, присваиваемый каждому жителю Дании. Он используется в банковском секторе, здравоохранении, государственных услугах и множестве частных сервисов. Компрометация связки «имя — адрес — CPR-номер» создаёт серьёзные риски для последующей эксплуатации: от социальной инженерии и мошенничества до попыток кражи личности. По состоянию на момент публикации материалы The Hacker News указывают, что министерство цифровизации Дании уже уведомило население об инциденте. Ведомство обратилось к гражданам с экстренным предупреждением, призвав их к бдительности. Дополнительные технические детали — в частности, точный период несанкционированного доступа, название компании, чей аккаунт был использован, и наличие CVE-идентификаторов — в исходном сообщении не раскрываются.Что делать
Для граждан Дании, чьи данные могли попасть в утечку, ключевые рекомендации сводятся к следующему: — Соблюдайте повышенную осторожность в отношении любых входящих коммуникаций. Ожидайте всплеска фишинговых писем, SMS и звонков, в которых злоумышленники могут ссылаться на реальные персональные данные (имя, адрес, CPR-номер) для придания сообщениям достоверности. — Не сообщайте CPR-номер, банковские реквизиты, коды из SMS и данные банковских карт по запросу входящих сообщений или звонков. Государственные органы Дании не запрашивают такие сведения подобным образом. — Проверяйте любые обращения «от имени» банков, государственных служб и сервисов через официальные каналы связи, а не по ссылкам и номерам из полученного сообщения. — Следите за состоянием своих банковских счетов и кредитной истории, оперативно сообщайте в банк о подозрительных операциях. — Если вы подозреваете, что стали целью мошенничества, связанного с утечкой CPR-данных, обратитесь в полицию. Компаниям, имеющим законный доступ к чувствительным государственным реестрам, рекомендуется пересмотреть практики управления такими аккаунтами: ограничить число сотрудников с прямым доступом, внедрить MFA, настроить журналирование и мониторинг аномальной активности запросов, а также регулярно проверять, что объём запрашиваемых данных соответствует реальным бизнес-задачам. Инцидент в Дании наглядно демонстрирует: легитимный механизм доступа к данным сам по себе становится вектором атаки, если он не защищён должным образом. Инцидент с CPR показывает, что централизованные национальные реестры остаются привлекательной целью для злоумышленников, а слабое звено часто находится не в ядре системы, а в легитимных точках доступа к ней. Для организаций, работающих с критичными персональными данными, контроль доступа, мониторинг запросов и принцип минимальных привилегий перестают быть формальностью и становятся обязательным минимумом.Источник: The Hacker News