Usa la password “123456” ed entra nel registro anagrafico della Danimarca: hacker ottiene i dati di quasi 9 milioni di persone

Le informazioni di 8,8 milioni di danesi sono entrate in possesso di un hacker, che ha usato una semplice password a sei cifre per entrare nel sistema collegato al registro anagrafico nazionale. Ovvero “123456”. A parlare dell’attacco informatico è proprio chi l’ha compiuto che, rimanendo anonimo, ha raccontato al quotidiano danese Politiken come è riuscito ad accedere al Central Register of Persons (CPR) e avere le informazioni riservate.

Chi è stato colpito e come ha agito l’hacker

Nel mirino dell’hacker c’era la società informatica Pays ApS, che ha sede a Odense, la terza città più grande della Danimarca, ed è autorizzata ad accedere al CPR per verificare i dati dei clienti aziendali. L’hacker ha spiegato di essere partito da credenziali di un ex dipendente trapelate negli scorsi mesi. Da lì avrebbe sviluppato due programmi per interrogare il registro e salvare all’esterno le informazioni raccolte. E tre account della società informatica Pays ApS avrebbero utilizzato la stessa password a sei cifre, compreso un amministratore delegato.

I dati trapelati con 14 milioni di ricerche

L’attacco informatico, stando alle ricerche dell’emittente TV 2, sarebbe iniziato lo scorso 10 settembre. Poi per i successivi 10 giorni sarebbero state realizzate 14 milioni di ricerche automatiche nel database, colpendo 8,8 milioni di cittadini. Nel CPR sono contenuti 11 milioni di posizioni, tra cui anche quelle di persone decedute o trasferite all’estero. Un numero superiore rispetto agli attuati residenti in Danimarca, che sono circa 6 milioni. Ma che trova riscontro calcolando anche chi ha lasciato il Paese o è morto.

La scoperta della violazione da parte della società

Solo il 2 ottobre una dipendente ministeriale ha avvertito del fatto, rilevato grazie una fattura che portava un numero di interrogazioni superiore alla norma. Poi il 5 ottobre l’attacco è stato confermato dalla direttrice Sophie Laursen, che alla TV 2 ha dichiarato che una persona esterna era entrata nel CPR utilizzando le autorizzazioni concesse alla società. Dopo l’episodio, la Pays ApS ha visto revocata l’autorizzazione ad accedere al registro.

Una vicenda non ancora terminata

L’hacker ha poi rivelato l’attacco anonimamente, specificando che il suo obiettivo non era di vendere o divulgare le informazioni ottenute. Sono al vaglio degli inquisitori le mosse descritte dall’hacker e la possibilità che la password “123456” fosse utilizzata anche dal registro nazionale. Inoltre, le autorità hanno avvertito i cittadini di fare attenzione di fronte alle richieste di informazioni riservate.

(Foto di Julio Lopez su Unsplash)