רשויות דנמרק מסרו כי תוקפים הצליחו למשוך נתונים ממרשם האוכלוסין הלאומי (CPR) באמצעות הרשאת הגישה החוקית של חברה פרטית. לפי הדיווח נחשפו שמות, כתובות ומספרי זהות של כ-8.8 מיליון בני אדם, כ-80% מהרשומים במרשם.
הפרטים
לפי משרד הדיגיטציה הדני, הפורצים לא תקפו את המרשם עצמו אלא השתמשו בזכות החיפוש של חברה דנית קטנה שיש לה גישה מורשית לרשומות. הגישה נמשכה כעשרה ימים בספטמבר, והאירוע התגלה ב-2 באוקטובר. שם החברה לא פורסם.
רשות הגנת המידע הדנית מסרה שבוצעו חיפושים אוטומטיים שנועדו לאתר מספרי זהות תקפים. אנשים שיש להם הגנת שם וכתובת לא נכללים בדלף. הגישה של החברה הושעתה, האירוע דווח למשטרה ולרשות, ונדרשה סקירת אבטחה מלאה.
נקודות לשים לב
- אם אתה גורם שמחזיק גישה למאגרי מידע ממשלתיים: בדוק אילו חשבונות ו-API keys מורשים לבצע חיפושים, והאם יש הגבלת קצב והתראה על שאילתות המוניות.
- הלקח הרחב: ספק קטן עם גישה חוקית הוא נקודת תורפה למאגר גדול. הגישה הלגיטימית היא וקטור התקיפה, לא פגיעות בקוד.
- הנתונים שדלפו (שם, כתובת, מספר זהות) מספיקים לפישינג ממוקד והתחזות, ולכן אפשר לצפות לניסיונות כאלה נגד תושבים דנים.
- הרשויות הדניות המליצו לציבור להגדיר התראות אשראי ב-borger.dk.
- לא נכון להסיק מהדיווח שהמרשם עצמו נפרץ; הרשויות מתארות ניצול של הרשאה קיימת.
מקורות: The Hacker News · משרד הדיגיטציה הדני · Datatilsynet
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
