KODAŇ, DÁNSKO / RankWire.AI / – Významné narušenie bezpečnosti dánskeho centrálneho registra osôb viedlo k vyšetrovaniu po tom, čo boli ohrozené osobné údaje približne 8,8 milióna jednotlivcov. Medzi odhalené informácie patrili mená, adresy, čísla CPR a súvisiace záznamy. Úradníci uviedli, že páchatelia zneužili zákonný prístup udelený súkromnej dánskej spoločnosti na prehľadávanie databázy CPR. Správa CPR pozastavila spoločnosti prístup, pretože úrady vyšetrujú okolnosti súvisiace s narušením bezpečnosti.
Správa CPR identifikovala podozrivú aktivitu večer 2. októbra po nezvyčajných vzorcoch vyhľadávania počas septembra. Cez víkend úrady analyzovali aktivitu a potvrdili rozsah neoprávneného prístupu. Centrálny register osôb obsahuje približne 11 miliónov záznamov vrátane údajov o súčasných obyvateľoch, osobách, ktoré sa presťahovali do zahraničia, a zosnulých osobách. Úradníci zdôraznili, že vyhľadávania zostávali v rámci informácií, ku ktorým majú súkromné spoločnosti prístup prostredníctvom autorizovaných služieb CPR.
Vyšetrovanie doteraz neurčilo, kto bol zodpovedný za vykonanie tejto činnosti. Dánski úradníci nezverejnili názov súkromnej spoločnosti, ktorej oprávnený prístup bol zneužitý. Správa CPR nahlásila incident dánskemu úradu na ochranu údajov Datatilsynet a polícia spolu s ďalšími príslušnými agentúrami vykonáva vyšetrovanie. Vláda potvrdila, že jej preskúmanie nezistilo žiadne odhalenie mien a adries chránených v rámci dánskeho systému ochrany mien a adries.
Regulačný orgán vyšetruje automatizované vyhľadávania v systéme CPR
Spoločnosť Datatilsynet oznámila, že 4. októbra dostala správu o incidente z registra CPR. Úrad vysvetlil, že prípad zahŕňal veľmi veľký objem automatizovaných vyhľadávaní zameraných na systém CPR. Tieto vyhľadávania mali podľa oznámenia overiť čísla CPR. Spoločnosť Datatilsynet teraz skúma podrobnosti o tom, čo sa stalo, ako bol prístup povolený a kto môže byť zodpovedný za spracovanie dotknutých osobných údajov. Regulačný orgán uviedol, že poskytne ďalšie aktualizácie, hneď ako bude k dispozícii dostatok informácií.
Ministerka pre výskum, vzdelávanie a digitalizáciu Christina Egelundová označila incident za veľmi vážny a informovala o ňom Výbor pre obchod a digitálne záležitosti dánskeho parlamentu. Nariadila tiež komplexné bezpečnostné preskúmanie infraštruktúry CPR. Vláda iniciovala opatrenia na predchádzanie podobným udalostiam, zatiaľ čo administratíva CPR naďalej spája sled udalostí. Úradníci poznamenali, že vyšetrovanie je stále v počiatočnom štádiu a že technické posúdenia môžu spresniť počiatočné zistenia.
Verejnosť sa vyzýva, aby bola ostražitá pred podvodmi
Dánske úrady vyzvali občanov, aby boli ostražití pred potenciálnymi podvodmi zahŕňajúcimi podvodné hovory, e-maily alebo správy, ktoré môžu využívať odhalené osobné údaje. Úradníci odporučili zdieľať heslá alebo iné citlivé informácie len preto, že volajúci alebo odosielateľ zrejme pozná ich meno, adresu alebo číslo KPR. Vláda odkázala obyvateľov na oficiálne zdroje digitálnej bezpečnosti a dánsku kybernetickú horúcu linku. Toto varovanie nasledovalo po potvrdení, že neoprávnená aktivita sa týkala údajov patriacich miliónom registrovaných osôb v národnom registri obyvateľstva.
Úrady naďalej vyhodnocujú, ako k narušeniu došlo, ktoré záznamy boli ovplyvnené a aké záruky upravujú prístup súkromných spoločností k systému CPR. Datatilsynet tiež samostatne skúma problémy s ochranou údajov, ktoré incident vyvolal. Správa CPR zablokovala spoločnosti prístup a zaviedla bezpečnostné opatrenia, zatiaľ čo prebieha širšie preskúmanie registra. K 7. októbru úradníci verejne neidentifikovali útočníkov, nezverejnili názov zapojenej súkromnej spoločnosti ani nepotvrdili konkrétnu metódu použitú na zneužitie autorizovaného prístupu.
Príspevok Únik údajov CPR v Dánsku vedie k vyšetrovaniu viac ako 8,8 milióna odhalených záznamov sa prvýkrát objavil na Bedworth Echo .