KOPENHAGA, DANIA / RankWire.AI / – Władze w Danii badają obecnie naruszenie bezpieczeństwa związane z nieautoryzowanym dostępem do danych osobowych w Centralnym Rejestrze Osób (CPR). W wyniku naruszenia doszło do naruszenia bezpieczeństwa danych dotyczących około 8,8 miliona osób. Uzyskane dane obejmowały imiona i nazwiska, adresy, numery identyfikacyjne CPR i inne zarejestrowane dane. Urzędnicy potwierdzili, że atakujący posługiwali się danymi uwierzytelniającymi prywatnej duńskiej firmy upoważnionej do dostępu do krajowej bazy danych ludności, jednak tożsamość firmy nie została ujawniona.
Administracja CPR wykryła nieprawidłową aktywność wieczorem 2 października, po serii przeszukań przeprowadzonych przez cały wrzesień. Po przeanalizowaniu incydentu w ten weekend, władze określiły zakres naruszenia. Baza danych CPR zawiera około 11 milionów rekordów, obejmujących obecnych mieszkańców, osoby, które wyjechały za granicę, oraz osoby zmarłe. Urzędnicy wskazali, że przeszukania ograniczyły się do kategorii informacji dostępnych za pośrednictwem autoryzowanych służb CPR.
Osoby odpowiedzialne za nieautoryzowane przeszukania nie zostały zidentyfikowane. Po wykryciu podejrzanej aktywności, organ CPR cofnął firmie dostęp. Duńska policja i inne agencje badają obecnie, w jaki sposób doszło do naruszenia i które dane zostały naruszone. Przeprowadzono również ocenę danych chronionych w ramach duńskiego programu ochrony nazw i adresów; władze potwierdziły, że nazwiska i adresy objęte tym programem nie były częścią ujawnionych informacji.
Organ ds. danych bada zautomatyzowane zapytania dotyczące CPR
Datatilsynet , duńska agencja ochrony danych, została powiadomiona o incydencie 4 października. Regulator zgłosił znaczną liczbę zautomatyzowanych przeszukań systemu CPR. Przeszukania te miały na celu weryfikację ważności numerów CPR. Datatilsynet bada obecnie, w jaki sposób nieupoważnione podmioty uzyskały dostęp i jakie dane osobowe zostały odzyskane. Przegląd obejmuje również ocenę odpowiedzialności za przetwarzanie danych zgodnie z duńskimi przepisami o ochronie prywatności.
Minister ds. Badań Naukowych, Edukacji i Cyfryzacji Christina Egelund określiła zdarzenie jako niezwykle poważne i poinformowała o tym duńską Komisję ds. Biznesu i Cyfryzacji. Zarządziła kompleksowy przegląd bezpieczeństwa systemu CPR i jego kontroli dostępu. Rząd podjął działania mające na celu zminimalizowanie ryzyka wystąpienia podobnych incydentów w przyszłości. Władze nadal ustalają przebieg incydentu i oceniają zabezpieczenia stosowane przez organizacje prywatne w celu uzyskania autoryzowanego dostępu do danych CPR.
Społeczeństwu zaleca się ostrożność w przypadku potencjalnych oszustw
Duńscy urzędnicy zaapelowali do mieszkańców o zachowanie czujności w przypadku fałszywych wiadomości, które mogłyby wykorzystać ujawnione dane osobowe. Odradzali udostępnianie haseł lub poufnych danych, jeśli osoba dzwoniąca prawdopodobnie zna ich imię i nazwisko, adres lub numer CPR. Rząd wskazał mieszkańcom oficjalne zasoby bezpieczeństwa cyfrowego i duńską infolinię cybernetyczną. Nie potwierdzono, czy uzyskane informacje zostały wykorzystane do działań przestępczych, takich jak oszustwa lub kradzież tożsamości, wykraczających poza nieautoryzowane przeszukania.
Trwające dochodzenia koncentrują się na metodach dostępu do dokumentacji, zakresie naruszeń danych oraz środkach bezpieczeństwa regulujących prywatne korzystanie z systemu CPR. Władze nie ujawniły nazwy firmy prywatnej zaangażowanej w incydent ani konkretnej techniki wykorzystanej do nadużycia autoryzowanego dostępu. Od 7 października administracja CPR, policja i organy regulacyjne prowadzą oddzielne dochodzenia w sprawie incydentu, podczas gdy Dania kontynuuje ocenę protokołów bezpieczeństwa krajowego rejestru ludności.
Artykuł Dania przeprowadza kontrolę dostępu do CPR po naruszeniu danych, które dotknęło miliony osób, pojawił się jako pierwszy w UK Roundup .