Danimarka’da yaklaşık 8,8 milyon kişinin isim, adres ve kimlik numarası gibi bilgilerinin ele geçirildiği siber saldırıda, erişim için “123456” gibi son derece basit bir şifrenin kullanılmış olabileceği öne sürüldü.
Sisteme şirket erişimi üzerinden girildi
Danimarka’nın Merkezi Nüfus Kayıt Sistemi (CPR), 5 Ekim’de yaptığı açıklamayla yaklaşık 8,8 milyon kişinin kişisel bilgilerine yetkisiz erişim sağlandığını doğruladı.
Yetkililer, saldırganların doğrudan sisteme sızmak yerine kayıtları sorgulama yetkisi bulunan özel bir şirketin erişim imkanını kötüye kullandığını bildirdi.
Üç hesapta “123456” şifresi bulundu
Danimarka gazetesi Politiken’in haberine göre saldırıyı üstlendiğini söyleyen kişi, küçük bir bilişim şirketinin eski çalışanına ait sızdırılmış giriş bilgileriyle sisteme eriştiğini iddia etti.
Gazetenin incelediği kayıtlarda, sisteme erişimi kullanılan Pays ApS adlı şirketin en az üç hesabında “123456” şifresinin yer aldığı görüldü. Bu hesaplardan birinin yönetici hesabı olduğu belirtildi.
Odense merkezli şirketin yöneticisi Sophie Laursen, şirketin nüfus kayıt sistemine erişim yetkisinin kötüye kullanıldığını doğruladı. Bununla birlikte Danimarka makamları, saldırıda kullanılan şifrenin gerçekten “123456” olduğunu henüz resmen teyit etmedi.
14 milyon otomatik sorgulama yapıldı
The Register’ın aktardığı bilgilere göre saldırganlar, 10-20 Eylül tarihleri arasında nüfus kayıt sisteminde yaklaşık 14 milyon otomatik sorgulama gerçekleştirdi.
Olay, şirketin sistem kullanımında olağan dışı yoğunluğa işaret eden bir faturanın fark edilmesiyle 2 Ekim’de tespit edildi.
Saldırıyı gerçekleştirdiğini öne süren kişi, elde ettiği kişisel bilgileri satmayı ya da kamuoyuyla paylaşmayı planlamadığını savundu.
Uzmandan ciddi güvenlik açığı uyarısı
Aarhus Üniversitesi’nden siber güvenlik uzmanı Jens Myrup Pedersen, “123456” gibi kolay tahmin edilebilen bir parolanın kullanılmasını ciddi bir güvenlik zafiyeti olarak değerlendirdi.
Danimarka makamları, saldırıda erişimi kullanılan şirketin nüfus kayıt sistemine bağlantısını kesti. Olay veri koruma kurumuna bildirilirken polis soruşturması da başlatıldı.
