Danimarka’da milyonlarca kişinin kişisel bilgilerinin ele geçirildiği siber saldırının, basit bir şifre kullanılarak gerçekleştirilmiş olabileceği belirlendi. Danimarka’nın Merkezi Nüfus Kayıt Sistemi (CPR), 5 Ekim’de yaptığı açıklamada, yaklaşık 8,8 milyon kişinin isim, adres ve kimlik numarası gibi bilgilerine yetkisiz erişim sağlandığını doğruladı. Yetkililer, saldırganların doğrudan sisteme sızmak yerine, kayıtları sorgulama yetkisi olan özel bir şirketin erişimini kötüye kullandığını açıkladı.
ŞİFRENİN KOLAYLIĞI
Danimarka gazetesi Politiken’in haberine göre, saldırıyı üstlendiğini iddia eden kişi, küçük bir bilişim şirketinin eski çalışanına ait sızdırılmış giriş bilgilerini kullandığını belirtti. Gazeteye göre, saldırıda kullanılan Pays ApS adlı şirketin en az üç hesabında “123456” şifresi bulunuyordu. Bu hesaplardan biri de şirketin yönetici hesabıydı. Odense merkezli şirketin yöneticisi Sophie Laursen, bu erişim yetkisinin kötüye kullanıldığını doğruladı. Ancak şifrenin gerçekten “123456” olup olmadığı henüz resmi olarak doğrulanmadı.
OTOMATİK SORGULAMA SAYISI
The Register’ın aktardığına göre, saldırganlar, 10-20 Eylül tarihleri arasında nüfus kayıt sisteminde yaklaşık 14 milyon otomatik sorgulama gerçekleştirdi. Saldırı, 2 Ekim’de, şirketin sistem kullanımındaki olağan dışı bir yoğunluğun fark edilmesiyle tespit edildi. Saldırıyı üstlenen kişi, elde ettiği kişisel bilgileri satmayı veya kamuoyuyla paylaşmayı düşünmediğini öne sürdü.
GÜVENLİK ZAFİYETİ ELEŞTİRİLERİ
Aarhus Üniversitesi’nden siber güvenlik uzmanı Jens Myrup Pedersen, “123456” gibi kolay tahmin edilebilen bir şifrenin kullanılmasını ciddi bir güvenlik zafiyeti olarak değerlendirdi. Danimarka makamları, saldırıda erişimi kullanılan şirketin nüfus kayıt sistemine bağlantısını kesti. Olayla ilgili veri koruma kurumuna bildirim yapıldı ve polis soruşturması başlatıldı.