デンマークで発生した約880万件の個人記録の大規模流出は、フュン島に拠点を置く小規模企業Paysのアカウントセキュリティの脆弱さに起因するとみられています。
報道によると、同社の少なくとも3つのアカウントが、管理者アカウントも含めて「123456」をパスワードとして使用していました。
攻撃者はデンマークの日刊紙Politikenに対し、このパスワードによって、存命のデンマーク人約550万人と死亡者約330万人のCPR識別番号(個人識別番号)と住所にアクセスできたと語っています。
Politikenは、盗まれたデータセットにはCPR番号が870万件強含まれていたと説明しています。一方、他の報道では合計を880万件に丸めています。
Paysは、デンマークの中央個人登録簿(CPR)への正規のアクセス権を持っていました。今回の攻撃は、政府の登録簿そのもののインフラを直接侵害したのではなく、この正規のアクセス権を悪用したものとされています。
オーデンセに拠点を置くPaysは、デンマークの放送局TV 2に対し、同社のアクセス権が悪用されたことを認めました。ハッカー本人の説明によると、侵入の発端は、元従業員に関連するパスワードの漏えいでした。
攻撃者は、登録簿から情報を取得してシステム外に保存するための2つのプログラムを開発したと主張しています。報じられているところでは、アクセスは9月10日に始まり、21日と17時間にわたって続きました。
なお、これらの詳細はあくまで攻撃者の説明に基づくもので、独立したフォレンジック調査の結果として公表されたものではありません。
技術的には、この点が重要です。正規の認証情報があれば、ソフトウェアの脆弱性を突かなくても、攻撃者は機密情報へ到達する既存の経路を手にできるからです。
今回のケースでは、報じられている取得用プログラムによって、侵害されたアクセス権が大規模な記録収集の手段に変わりました。Politikenの報道によると、セキュリティ専門家らは今回の事件を予見可能だったと受け止めており、当局が防ぐべきだったと考えています。
同紙の見出しは、Paysの少なくとも3つのプロファイルが同じ初歩的なパスワードを共有していたことを強調しており、問題が1つのアカウントにとどまらなかったことをうかがわせます。
パスワードのスクリーニングは、基本的な防御策の一つです。NISTのガイダンスは、設定しようとするパスワードを、漏えい済みの認証情報や辞書に載っているパスワード、その他の推測されやすい値を収めたブロックリストと照合するよう推奨しています。
こうしたスクリーニングは、今回報じられたような連番のパスワードに見られる弱点を狙い撃ちにするものです。個人識別情報を扱う組織は、多要素認証の導入、元従業員のアカウントの速やかな無効化、必要な情報に限ったアクセス制限、異常なクエリ量や大量取得の監視も求められます。
これらの対策は、認証情報の侵害と、本来は許可されたアクセスの悪用の両方に対処するものです。CPR番号が流出しても、攻撃者がデンマークのデジタルIDを自動的に掌握できるわけではありません。
デンマークの認証システムMitIDが防御を強化しているものの、漏えいした識別番号や住所は、巧妙なフィッシングやソーシャルエンジニアリングのメッセージに悪用される恐れがあります。
当局は住民に対し、不審な連絡には注意し、パスワードやワンタイム認証コードは決して教えないよう呼びかけています。
1万6,000以上のSOCチームがANY.RUNを導入し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
