security
現地メディアによると、小規模IT企業の脆弱なアカウント3件が、国の住民登録システムへの不正アクセスに悪用されたとのことです
デンマークの中央個人登録簿（CPR）への侵入について犯行を主張する人物が、パスワード「123456」で保護されていたIT企業のアカウントからアクセスしたと説明しています。
この人物はデンマークの報道機関Politiken に対し、データを売却したり流出させたりするつもりはなかったと語りました。同紙は、管理者アカウントを含む少なくとも3件の同社アカウントが同じパスワードを使っていたと報じています。
デンマークのCPR管理当局は10月5日、880万人分の情報に影響する侵害を確認し、デンマーク企業が持つCPRシステムへの正規のアクセス権が悪用されたと説明しました。
当局は問題の企業としてフュン島に拠点を置くPays ApSの名前を挙げていませんが、同社のマネージングディレクターであるSophie Laursen氏は10月9日、同社のアクセス権が悪用されたことを認めました。
Paysのウェブサイトはオフラインになっており、同社はThe Registerによるパスワードに関する主張への問い合わせにも回答していません。
PaysはCPRシステムへのアクセス権限を与えられており、法人顧客の記録を検証するなどのサービスを提供していました。
デンマーク政府によると、880万人に関する情報にアクセスされました。同登録簿には、死亡者や海外に転居した人の記録も含め、約1,100万件の記録が登録されています。政府は、パスワードの不備が指摘されていることについての質問に回答していません。
放送局TV 2が入手した文書によると、攻撃者は9月10日にCPRシステムへアクセスし、同日から9月20日までの間に1,400万件の自動検索を実行しました。
侵入が検知されたのは10月2日で、最後の検索が確認されてから12日後でした。
デンマーク政府の高等教育・科学省で局長を務めるMikkel Leihardt氏は記者会見で、同省の職員がPaysからの異常に多い利用を示す請求書を目にしたことが、攻撃発覚のきっかけだったと述べました。
デンマークのデータ保護当局Datatilsynetには10月4日に通知があり、政府は翌日に攻撃を公表しました。®
