Lỗ hổng bảo mật tại Đan Mạch khiến gần 9 triệu hồ sơ dân cư bị truy cập trái phép

Cơ quan quản lý Hệ thống Đăng ký Dân cư Trung ương Đan Mạch (CPR) xác nhận dữ liệu của khoảng 8,8 triệu hồ sơ đã bị một bên không có thẩm quyền khai thác thông qua quyền truy cập hợp pháp của một doanh nghiệp trong nước.

Quy mô dữ liệu bị ảnh hưởng

Số CPR là mã định danh cá nhân phổ biến tại Đan Mạch. Hệ thống CPR hiện lưu trữ khoảng 11 triệu hồ sơ, bao gồm người dân đang sinh sống, người đã ra nước ngoài và người đã qua đời, khiến số lượng hồ sơ bị ảnh hưởng lớn hơn tổng dân số thực tế của quốc gia này. Thông tin bị truy cập bao gồm tên, địa chỉ, số CPR và một số dữ liệu liên quan khác. Tuy nhiên, cơ quan chức năng xác nhận tên và địa chỉ của những người đăng ký chế độ bảo vệ thông tin không nằm trong diện bị rò rỉ. Cơ quan CPR đã lập tức khóa quyền truy cập của doanh nghiệp liên quan, báo cáo vụ việc cho cơ quan bảo vệ dữ liệu và chuyển hồ sơ sang cảnh sát để điều tra.

Nghi vấn về mật khẩu yếu

Doanh nghiệp bị lợi dụng quyền truy cập là Pays ApS, một công ty dịch vụ dữ liệu có trụ sở tại Odense. Đại diện công ty xác nhận quyền tra cứu của họ đã bị kẻ xấu lợi dụng. Theo điều tra từ báo chí Đan Mạch, ít nhất ba tài khoản tại Pays, bao gồm một tài khoản quản trị, từng sử dụng mật khẩu "123456". Một email liên quan đến nhân viên cũ của công ty chứa mật khẩu này cũng từng bị phát hiện trong một vụ rò rỉ dữ liệu trước đó. Dù một cá nhân đã lên tiếng nhận trách nhiệm và thừa nhận sử dụng thông tin đăng nhập này, giới chức Đan Mạch và các nguồn tin quốc tế vẫn cho biết đây mới chỉ là kết quả từ điều tra báo chí, chưa phải kết luận chính thức.

Hành vi khai thác bị phát hiện nhờ hóa đơn

Theo tài liệu điều tra, hoạt động khai thác dữ liệu bắt đầu từ ngày 10/9 và ghi nhận khoảng 14 triệu lượt tra cứu tự động trong mười ngày tiếp theo, nhưng quyền truy cập chỉ bị đình chỉ vào ngày 2/10. Đáng chú ý, hệ thống dường như không đưa ra cảnh báo tự động khi tài khoản doanh nghiệp thực hiện số lượng lớn yêu cầu bất thường. Sự việc chỉ vỡ lở khi một nhân viên phát hiện chi phí hóa đơn tra cứu của Pays tăng đột biến do mỗi lượt tìm kiếm trong hệ thống đều phát sinh một khoản phí nhỏ. Cơ quan CPR hiện vẫn chưa làm rõ toàn bộ dữ liệu đã bị tải đi hoặc liệu thông tin có bị phát tán hay không, trong khi người tự nhận là thủ phạm tuyên bố không có ý định bán hay công khai dữ liệu.