فاجعه امنیتی؛ رمز عبور 123456 اطلاعات میلیون‌ها نفر را لو داد

هکری با نفوذ به حساب کاربری یک شرکت و استفاده از رمز عبور 123456 به داده‌های هویتی ۸٫۸ میلیون شهروند دانمارک دست یافت.

داستان‌های مربوط به سرقت‌های بزرگ داده معمولا ذهن را به سمت راهکارهای پیچیده‌ی نفوذ، بدافزارهای پیشرفته و هکرهای تحت حمایت دولت‌ها می‌برد. ماجرایی جدید در پایتخت دانمارک اما تصویر متفاوتی را رقم زد؛ رویدادی تلخ که نشان داد گاهی پیچیده‌ترین لایه‌های امنیتی یک کشور با پیش‌پاافتاده‌ترین اشتباه ممکن فرو می‌ریزند.

فردی که مدعی دسترسی غیرمجاز به پایگاه داده‌ی ثبت احوال دانمارک موسوم به CPR شده، فاش کرد که با ساده‌ترین ترکیب عددی ممکن یعنی گذرواژه‌ی 123456 به اطلاعات حساس میلیون‌ها انسان دست یافته است.

بر اساس گزارش وب‌سایت The Register ، منشا این رخنه‌ی گسترده نه سرورهای اصلی دولت، بلکه حساب کاربری متعلق به مجموعه‌ی فناوری اطلاعات و خدمات داده‌ی Pays ApS بوده است. چنین سامانه‌هایی به کسب‌وکارها اجازه می‌دهند برای احراز هویت مشتریان با سامانه‌ی ملی ارتباط برقرار کنند. نفوذگر با بهره‌برداری از گذرواژه‌ی خنده‌دار و تکان‌دهنده‌ی حساب یکی از کاربران این سرویس‌دهنده، توانست سد امنیتی را دور بزند و به پرونده‌های هویتی دسترسی پیدا کند.

دولت دانمارک اصل ماجرای سرقت داده را تأیید کرده و ابعاد ماجرا زوایای نگران‌کننده‌ای به خود گرفته است. مقامات کپنهاگ اعلام کردند رخنه‌ ۱۲ روز پس از وقوع و تنها به‌دلیل ثبت فعالیتی غیرعادی روی یک صورت‌حساب خدمات کشف شد.

بر اساس آمارهای رسمی، بالغ بر ۸٫۸ میلیون پرونده‌ی اطلاعاتی به‌طور غیرقانونی استخراج شده‌اند؛ آماری که تقریبا هویت تمامی شهروندان این کشور را در بر می‌گیرد. با وجود اطمینان‌خاطر هکر مبنی بر نداشتن قصد فروش یا انتشار داده‌ها، ابعاد نقض حریم خصوصی جامعه را در شوک فرو برد.

سوفی لورسن ، مدیرعامل Pays ApS، رسما تأیید کرد مهاجم از دسترسی قانونی این شرکت برای بیرون کشیدن اطلاعات دیتابیس سوءاستفاده کرده است.

قصور در حفظ امنیت داده‌های دولتی رویدادی بی‌سابقه نیست و پیش‌تر نیز در کشورهای مختلف رخ‌نمایی کرده بود. اندونزی در حمله‌ی باج‌افزاری سال ۲۰۲۴ که دامن‌گیر بیش از ۲۳۰ نهاد عمومی شد، دریافت که هیچ نسخه‌ی پشتیبانی از داده‌ها در اختیار ندارد. کره‌ی جنوبی نیز سال گذشته در پی وقوع آتش‌سوزی سهمگین در یک مرکز داده‌ی دولتی، بیش از ۸۵۸ ترابایت اطلاعات غیرقابل‌جایگزین را برای همیشه از دست داد.

کارشناسان انتظار دارند دانمارک در گام نخست سیاست‌های انتخاب گذرواژه و سازوکارهای احراز هویت شرکای بیرونی را از بنیان دگرگون کند. امروزه که هوش مصنوعی اجرای عملیات سایبری را شتاب داده و حتی ابزارهایی مانند Claude را به اهرمی برای حملات هدفمند تبدیل کرده، غفلت از اصول ابتدایی توجیه‌ناپذیر به‌نظر می‌رسد.