استفاده از گذرواژه ۱۲۳۴۵۶ باعث افشای اطلاعات میلیون‌ها نفر شد

نفوذ به سامانه ثبت احوال ملی دانمارک منجر به افشای اطلاعات هویتی هشت میلیون و هشتصد هزار شهروند این کشور شد.

به گزارش سرویس امنیت سایبری تکناک، رخنه‌ی امنیتی گسترده در سامانه‌ی ثبت احوال ملی دانمارک به افشای اطلاعات هویتی ۸.۸ میلیون شهروند این کشور منجر شد؛ رویدادی که به اذعان عامل نفوذ، نه حاصل یک حمله‌ی سایبری پیچیده، بلکه ناشی از به‌کارگیری گذرواژه‌ی ابتدایی و ضعیف «123456» در حساب کاربری یک شرکت واسط فناوری بوده است.

پایگاه داده‌ی ثبت مرکزی اشخاص دانمارک موسوم به CPR، مرجع اصلی نگهداری هویت و اطلاعات پرونده‌ای شهروندان این کشور محسوب می‌شود. نفوذ به این مخزن حساس از طریق شرکت Pays ApS صورت گرفته است؛ مجموعه‌ای فعال در زمینه‌ی خدمات داده و فناوری اطلاعات که امکان استعلام و پیوند با سامانه‌ی CPR را برای مشتریان خود فراهم می‌سازد. به گفته‌ی فرد مسئول این رخنه، یکی از حساب‌های کاربری مورد استفاده برای اتصال به این شبکه فاقد تدابیر امنیتی حداقلی بوده و تنها با ترکیبی ساده از اعداد محافظت می‌شده است.

کشف رخنه پس از دوازده روز

دولت دانمارک وقوع این نفوذ را تایید کرده و یک مقام رسمی اعلام کرده است شناسایی این رخنه دوازده روز پس از انجام آن صورت گرفت؛ زمانی که صدور یک صورت‌حساب مالی، ترافیک و تبادل داده‌ی نامتعارفی را از سوی حساب شرکت مذکور برملا ساخت. پس از بررسی این الگوی مصرف غیرعادی مشخص شد که ۸.۸ میلیون رکورد داده به صورت غیرمجاز بارگیری شده است. با وجود ابعاد وسیع داده‌های برداشته‌شده، عامل نفوذ مدعی شده قصدی برای انتشار عمومی یا فروش این اطلاعات در بازارهای سیاه ندارد. اگرچه مراجع دولتی کپنهاگ به طور رسمی نام این پیمانکار را در گزارش‌های نخستین خود مطرح نکردند، اما Sophie Laursen، مدیرعامل Pays ApS، تایید کرد که کانال دسترسی این مجموعه به پایگاه داده برای تخلیه‌ی اطلاعات مورد سوءاستفاده قرار گرفته است.

بیشتر بخوانید: چگونه شماره تلفن خود را در حساب گوگل به روز کنیم؟

آسیب‌پذیری زیرساخت‌های حیاتی کشورها

وقوع این حادثه نشان می‌دهد که ضریب حفاظتی یک زیرساخت حیاتی تا چه اندازه به امنیت ضعیف‌ترین حلقه‌ی ارتباطی آن وابستگی دارد. سامانه‌ای که دربردارنده‌ی جزئیات شخصی کل جمعیت یک کشور است، دست‌کم باید استفاده از کلیدهای ورود پیچیده و روش‌های احراز هویت چندمرحله‌ای را به عنوان یک استاندارد اجباری اعمال کند. طبق گزارش تامز هاردور، این نخستین بار نیست که چالش‌های ایمنی دیجیتال، ساختارهای دولتی را با بحران مواجه می‌سازد؛ پیش‌تر در سال 2024 میلادی، اندونزی پس از وقوع یک حمله‌ی باج‌افزاری دریافت که هیچ نسخه‌ی پشتیبانی از داده‌های بیش از ۲۳۰ نهاد عمومی خود در اختیار ندارد و کره‌ی جنوبی نیز به دنبال آتش‌سوزی در یک مرکز داده، حجم عظیمی از اطلاعات رسمی را از دست داد.

اکنون انتظار می‌رود نهادهای نظارتی کپنهاگ در واکنش به این فاجعه، سیاست‌های امنیتی و مدیریت دسترسی خود را با دقت بازنگری کنند. پیشرفت فناوری‌های هوش مصنوعی و ابزارهای خودکار، فرآیند نفوذ را برای عاملان مخرب به مراتب ساده‌تر و سریع‌تر کرده است؛ چنان‌که در رویدادهای اخیر، سیستم‌های مالی و نهادهای دولتی متعددی در نقاط مختلف جهان هدف حملات مشابهی قرار گرفته‌اند. با این وجود، وقوع چنین نفوذی با استفاده از ساده‌ترین و ابتدایی‌ترین گذرواژه‌ی ممکن، نشان می‌دهد که بخشی از آسیب‌پذیری‌های سایبری نیازمند ابزارهای پیچیده نیستند و صرفاً ناشی از سهل‌انگاری در رعایت اصول اولیه‌ی ایمنی دیجیتال هستند.