Mật khẩu yếu liên quan vụ rò rỉ dữ liệu CPR ở Đan Mạch
"A breach of Denmark's Central Register of Persons (CPR) exposed data tied to 8.8 million people after attackers abused a Danish IT company's authorized access. Reporting says the access was obtained through weak credentials, including a password of "123456" on at least one account, and the intrusion enabled roughly 14 million automated searches before detection; no CVE was cited and the reported fix was to identify and shut down the abused access path."
8,8 triệu người có thể bị ảnh hưởng; đây là trường hợp lạm dụng quyền truy cập hợp lệ thay vì khai thác lỗ hổng phần mềm. Sự cố nhấn mạnh rủi ro từ mật khẩu yếu và thiếu giám sát truy vấn.
Có thể phát sinh rủi ro tuân thủ, chi phí điều tra và khắc phục, cùng áp lực tăng cường kiểm soát truy cập. Các tổ chức phụ thuộc vào dữ liệu định danh cần rà soát quy trình vận hành và nhà cung cấp.
Cơ quan quản lý Central Register of Persons (CPR) của Đan Mạch cho biết dữ liệu liên quan đến 8,8 triệu người đã bị truy cập trái phép sau khi kẻ tấn công lợi dụng quyền truy cập hợp pháp của một công ty IT Đan Mạch. Theo báo cáo địa phương, ít nhất một tài khoản bị bảo vệ bằng mật khẩu "123456", và có thêm các tài khoản khác dùng cùng mật khẩu yếu, bao gồm cả tài khoản quản trị.
Nguồn tin cho biết kẻ tấn công đã vào hệ thống ngày 10/9, thực hiện khoảng 14 triệu truy vấn tự động trong giai đoạn đến 20/9, và vụ việc chỉ được phát hiện vào 2/10 sau khi có dấu hiệu hoạt động bất thường. Cơ quan bảo vệ dữ liệu Datatilsynet được thông báo ngày 4/10.
Sự cố này cho thấy rủi ro từ mật khẩu yếu, quyền truy cập hợp lệ bị lạm dụng và thiếu giám sát hoạt động. Khuyến nghị kỹ thuật gồm: áp dụng MFA, kiểm tra và xoay vòng thông tin xác thực, giới hạn least privilege, giám sát truy vấn bất thường, và rà soát định kỳ các tài khoản có quyền truy cập vào hệ thống dữ liệu nhạy cảm.