Hakerski skandal: Da li je lozinka "123456" koštala 8 miliona ljudi privatnosti?
- Danske vlasti istražuju upad u Centralni registar stanovništva, u kojem je kompromitovano oko 8,8 miliona ljudi. Među podacima su imena, adrese i CPR brojevi.
- Pristup je navodno zloupotrebljen preko ovlašćenja privatne kompanije, a medijski navodi povezuju incident sa lozinkom '123456'.
Kompromitovani podaci obuhvataju imena, adrese i identifikacione brojeve, a vlasti istražuju kako je zloupotrebljen pristup koji je imala privatna kompanija.
Danske vlasti istražuju ozbiljan bezbednosni incident u kojem su neovlašćene osobe došle do podataka oko 8,8 miliona ljudi iz Centralnog registra stanovništva, poznatog kao CPR. Prema izveštajima danskih i međunarodnih medija, pristup sistemu ostvaren je zloupotrebom ovlašćenja jedne privatne kompanije koja je imala dozvolu da pretražuje registar.
Dodatnu pažnju izazvali su navodi osobe koja tvrdi da je odgovorna za napad. Prema tim tvrdnjama, pristup je ostvaren pomoću lozinke „123456“, koju su navodno koristili pojedini nalozi kompanije, uključujući i administratorski nalog. Ovaj detalj za sada treba posmatrati kao navod iz medijskih izveštaja, a ne kao konačan zaključak zvanične istrage.
Podaci miliona ljudi bili su dostupni neovlašćenim osobama
Danski Centralni registar stanovništva sadrži podatke o približno 11 miliona osoba, uključujući sadašnje i bivše stanovnike zemlje, kao i preminule osobe. Prema informacijama koje su objavile danske vlasti, u incidentu su neovlašćene osobe pristupile podacima oko 8,8 miliona ljudi. Među kompromitovanim informacijama nalaze se imena, adrese i CPR brojevi, koji služe kao jedinstveni identifikatori u Danskoj.
Incident je otkriven početkom oktobra, nakon što je primećena neuobičajena aktivnost u sistemu tokom prethodnog meseca. Danske institucije zatim su istražile obim neovlašćenog pristupa i obavestile nadležni organ za zaštitu podataka. Slučaj je izazvao zabrinutost zbog količine informacija kojima je moguće pristupiti kada se zloupotrebe ovlašćenja spoljnog saradnika.
Lozinka „123456“ povezana je sa kompromitovanim nalozima
Prema izveštajima koji se pozivaju na danski list Politiken i istraživanje slučaja, najmanje tri korisnička naloga u kompaniji povezanoj sa incidentom navodno su koristila lozinku „123456“. Među njima je, prema tim navodima, bio i administratorski nalog. Reč je o jednoj od najpoznatijih slabih lozinki, jer se lako pogađa i ne pruža ozbiljnu zaštitu nalogu.
Osoba koja tvrdi da je izvela napad navodno je rekla da je do početnog pristupa došla preko lozinke bivšeg zaposlenog u manjoj danskoj kompaniji. Prema njenom iskazu, nakon toga su korišćeni programi za prikupljanje podataka iz registra. Ipak, izjava navodnog napadača sama po sebi ne dokazuje svaki detalj događaja, zbog čega je važno razlikovati njegove tvrdnje od činjenica koje su potvrdile nadležne institucije.
Kako je zloupotrebljen pristup državnom registru
Prema zvaničnom objašnjenju danskih vlasti, problem nije bio samo u samom registru, već i u načinu na koji je iskorišćen legalan pristup koji je imala privatna kompanija. Takav pristup omogućavao je pretragu određenih podataka, ali je potom navodno korišćen za aktivnosti koje nisu bile ovlašćene. Slučaj tako ukazuje na rizik koji nastaje kada spoljne kompanije imaju pristup velikim bazama ličnih podataka, a njihovi nalozi nisu dovoljno zaštićeni.
Prema dostupnim izveštajima, neobična aktivnost uočena je 2. oktobra, dok su danske vlasti javno objavile incident 5. oktobra. Istraga treba da utvrdi tačan tok događaja, odgovornost uključenih strana i način na koji je neovlašćeni pristup mogao da traje bez ranijeg otkrivanja. Za sada nije opravdano tvrditi da je samo slaba lozinka bila jedini uzrok incidenta, jer je potrebno razmotriti i kontrolu pristupa, nadzor aktivnosti i bezbednosne procedure.
Šta korisnici mogu da urade da zaštite svoje podatke
Slučaj iz Danske pokazuje zašto je važno koristiti jedinstvene i dovoljno jake lozinke. Kombinacije poput „123456“, datuma rođenja ili jednostavnih nizova znakova ne pružaju adekvatnu zaštitu. Za svaki važan nalog preporučuje se posebna lozinka, po mogućstvu generisana i čuvana u pouzdanom menadžeru lozinki, kao i uključivanje višefaktorske autentifikacije gde god je dostupna.
Korisnici bi trebalo da budu oprezni i sa porukama, pozivima i mejlovima koji koriste njihove lične podatke kako bi delovali uverljivo. Ako napadači dođu do imena, adrese ili identifikacionih podataka, mogu pokušati da ih iskoriste za prevare i lažno predstavljanje. Zato nije dovoljno promeniti samo lozinku: važno je proveravati prijave na naloge, uključiti bezbednosna upozorenja i nikada ne deliti kodove za potvrdu identiteta sa osobama koje se predstavljaju kao podrška ili službenici.
Istraga danskog incidenta treba da pruži jasniju sliku o tome kako je došlo do zloupotrebe pristupa i koje će mere biti uvedene da se sličan slučaj ne ponovi.
