Масштабная утечка данных в Дании привела к раскрытию личных данных 8,8 миллионов человек
Несанкционированное нарушение работы Центрального регистра населения (ЦГН) привело к раскрытию личных данных примерно 8,8 миллионов человек — цифра, значительно превышающая население страны, составляющее шесть миллионов человек. Утечка, произошедшая в сентябре 2026 года и обнаруженная властями несколько недель спустя, затрагивает имена, адреса и персональные идентификационные номера.
Украденные данные относятся как к нынешним жителям, так и к эмигрировавшим гражданам, а также к умершим лицам. Инцидент произошел из-за неправомерного использования учетных данных датской компании, имевшей разрешение на обращение в Реестр граждан (CPR). Этот реестр, созданный в 1968 году, является важной частью датской государственной администрации. Он содержит информацию о личности, адресе, дате рождения и семейном положении, а также номер CPR, используемый для идентификации людей в многочисленных административных процедурах. База данных содержит около 11 миллионов исторических записей. Таким образом, 8,8 миллиона пострадавших составляют приблизительно 80% людей, включенных в систему.
Датское агентство по защите данных указало, что ответственные лица использовали автоматизированную процедуру для идентификации действительных номеров CPR и получения соответствующей информации. Также проводится расследование того, как мог быть сделан такой огромный объем запросов без немедленного обнаружения подозрительной деятельности механизмами наблюдения.
Одним из наиболее поразительных аспектов дела является возможное использование чрезвычайно простого пароля. Человек, утверждающий, что стоит за атакой, сообщил датской газете Politiken, что ему удалось получить доступ к системе, используя комбинацию 123456, предположительно использованную авторизованной частной компанией. Однако датские власти публично не подтвердили эту версию и не установили, был ли инцидент делом рук одного человека. Администрация, ответственная за CPR, узнала о неправомерной активности 2 октября. В последующие дни была оценена степень извлечения информации. После идентификации компании, использованной в качестве точки входа, ее права доступа к реестру были приостановлены. Датская полиция начала расследование, чтобы установить, кто делал запросы, как были получены учетные данные и куда могли быть направлены эти данные.
«Это крайне серьезный инцидент, поэтому я также проинформировала парламентский комитет по делам и цифровизации», — заявила министр исследований, образования и цифровизации Кристина Эгелунд. «Вместе со всеми соответствующими органами мы работаем над установлением полного масштаба инцидента», — добавила она. Раскрытие номеров CPR вызывает особую обеспокоенность, поскольку эти идентификаторы широко используются в отношениях граждан с государственными органами и частными организациями. Наличие имени, адреса и подлинного идентификатора облегчает подготовку кампаний по подделке личных данных.
Преступники могут использовать эту информацию для отправки, казалось бы, законных сообщений, выдачи себя за другие учреждения или попыток получить пароли и банковские данные обманным путем (фото-B_A/wikimedia).
