Đan Mạch: lộ dữ liệu từ sổ đăng ký dân cư trung tâm
"An unauthorized party abused a private Danish company's legitimate access to the Central Population Register (CPR), exposing names, addresses, identification numbers, and other personal data for about 8.8 million people. The CPR administration blocked the company's access, notified the Danish Data Protection Agency, and police are investigating; no CVE is involved."
Rủi ro cao do lộ dữ liệu định danh quy mô lớn và lạm dụng quyền truy cập hợp lệ; có thể ảnh hưởng đến xác thực danh tính và điều tra pháp lý.
Có thể gây gián đoạn vận hành, tăng chi phí ứng phó sự cố và làm suy giảm niềm tin vào hệ thống dữ liệu công dân.
Một bên không được ủy quyền đã lợi dụng quyền truy cập hợp lệ của một doanh nghiệp tư nhân vào Central Population Register (CPR) của Đan Mạch, khiến các thông tin như tên, địa chỉ, số định danh và dữ liệu cá nhân khác của khoảng 8,8 triệu người bị lộ. Cơ quan quản lý CPR cho biết họ phát hiện hoạt động bất thường vào ngày 2/10 sau khi ghi nhận dấu hiệu trong tháng 9, rồi xác định quy mô sự cố trong cuối tuần.
Theo thông tin công bố, cơ quan này đã chặn quyền truy cập của công ty liên quan, đồng thời thông báo cho Cơ quan Bảo vệ Dữ liệu Đan Mạch và phối hợp với cảnh sát để điều tra. Hiện chưa có dấu hiệu cho thấy sự cố liên quan đến CVE hay khai thác lỗ hổng phần mềm; đây là vấn đề về lạm dụng quyền truy cập hợp lệ và kiểm soát dữ liệu.
Sự cố cho thấy các tổ chức đang nắm giữ dữ liệu công dân cần rà soát phân quyền truy cập, giới hạn phạm vi dữ liệu, ghi nhật ký đầy đủ và áp dụng giám sát bất thường. Với các hệ thống định danh quốc gia, cần đánh giá lại mô hình xác thực và quy trình cấp quyền để giảm rủi ro từ tài khoản hợp lệ bị lạm dụng.