Slabé heslo správce je spojováno s rozsáhlým dánským únikem dat, který odhalil informace spojené s přibližně 8,8 milionu národních identifikačních čísel. Podle zpráv používaly nejméně tři účty ve společnosti Pays, IT firmě na ostrově Fyn, heslo „123456“, včetně účtu správce. Příběh hesla při dánském úniku dat CPR je jasnou připomínkou, že největší rizika pro osobní údaje často pramení z těch nejjednodušších chyb. ## Co se stalo ve společnosti Pays Únik se týká dat spojených s dánskými čísly CPR, národními identifikačními čísly používanými po celé zemi. Odhalení je spojováno se společností Pays, IT firmou se sídlem na Fynu, a s účty, které údajně používaly „123456“ jako své heslo. Jeden z těchto účtů měl oprávnění správce, což obvykle znamená širší přístup než standardní uživatelský účet. Uvedené podrobnosti pocházejí ze zpravodajství a heslo je popisováno jako „údajně“ používané. Samostatnému tvrzení hackera o tom, jak byl přístup získán, se věnujeme v našem dřívějším článku [Hacker tvrdí, že „123456“ otevřelo dánský registr s 8,8 milionu záznamů](/en/hacker-claims-123456-opened-denmark-s-8-8m-record-registry). Čtenáři, kteří chtějí plnou výměnu názorů k tomuto tvrzení, by měli začít tam. Nápadné je, kde slabina spočívala. Data nebyla odhalena proto, že by jednotlivci znovu použili heslo na svých vlastních účtech. Byla spojena s poskytovatelem IT třetí strany, což znamená, že občané neměli žádnou kontrolu nad bezpečnostními postupy chránícími jejich identifikační údaje, ani o nich neměli přehled. ## Proč „123456“ stále otevírá dveře Je lákavé považovat heslo jako „123456“ za ojedinělou ostudu. V praxi přetrvává kvůli tomu, jak se chovají organizace a lidé. Výchozí přihlašovací údaje se nastaví během zavádění a nikdy se nezmění. Sdílené nebo servisní účty se vytvářejí ve spěchu. Pravidla pro hesla se nevynucují, nebo se vynucují jen pro běžné zaměstnance a ne pro administrátory. Útočníci to vědí. Hádání nejběžnějších hesel je jednou z nejlevnějších dostupných technik a úzce souvisí s [útokem hrubou silou](/en/glossary/brute-force), při němž útočník systematicky zkouší kombinace, dokud některá nefunguje. U hesla tak předvídatelného jako „123456“ útočník nepotřebuje ani mnoho výpočetního výkonu. Krátký seznam běžných hesel může stačit. Administrátorské účty zvyšují sázky. Kompromitované přihlášení správce může umožnit přístup k datům, nastavením a dalším účtům, takže slabý přihlašovací údaj tam může mít nepřiměřené následky. Mezi základní kontroly, které mohou organizace zavést, patří: - Blokování běžných a dříve uniklých hesel při vytváření - Vyžadování vícefaktorového ověřování, zejména u administrátorských účtů - Omezení počtu pokusů o přihlášení a upozorňování na neobvyklý přístup - Kontrola a odstraňování nepoužívaných nebo sdílených účtů ## Co odhalení čísla CPR znamená pro krádež identity Číslo CPR není jako heslo. Nelze ho snadno resetovat a u většiny lidí zůstává stejné po celý život. Právě proto je odhalení dat spojených s 8,8 miliony z nich tak významné: identifikátor nelze po úniku jednoduše obměnit. Samotné národní identifikační číslo není klíčem k vašemu bankovnímu účtu. Riziko spočívá v kombinaci. Pokud útočník spojí identifikační údaje s dalšími informacemi, může se pokusit o vydávání se za vás, o phishing, který zní přesvědčivě, protože používá skutečné údaje, nebo o pokusy odpovědět na bezpečnostní otázky pro obnovu účtu. Podvodníci často spoléhají na zprávu, která působí, jako by věděla, kdo jste. Praktickou reakcí je ostražitost, nikoli panika. Buďte skeptičtí k neočekávaným telefonátům, e-mailům nebo zprávám, které žádají hesla nebo důvěrné informace, i když se zdá, že odesílatel zná osobní údaje. Legitimní organizace po vás obecně nechtějí, abyste tímto způsobem předávali přihlašovací údaje. ## Jak chránit své vlastní účty Nemůžete opravit politiku hesel dodavatele, ale můžete zajistit, aby se vaše vlastní účty nestaly dalším slabým článkem. Začněte těmito kroky: 1. **Používejte jedinečné heslo pro každý účet.** Pokud dojde k úniku u jedné služby, opětovné použití umožní útočníkům zkusit stejné přihlášení jinde. 2. **Zaveďte správce hesel.** Generuje a ukládá dlouhá náhodná hesla, takže si je nemusíte pamatovat. 3. **Zapněte dvoufaktorové ověřování.** I když je heslo uhodnuto nebo unikne, druhý faktor může přihlášení zastavit. 4. **Zkontrolujte hesla ve stylu „123456“.** Nahraďte jakékoli jednoduché, krátké nebo vzorem tvořené heslo, počínaje e-mailovými, bankovními a pracovními účty. 5. **Přistupujte k nevyžádaným žádostem s nedůvěrou.** Ověřte je kontaktováním organizace prostřednictvím oficiálního kanálu, kterému již důvěřujete. ## Co to znamená pro vás Pokud žijete v Dánsku, hlavním poznatkem je být ve střehu vůči phishingovým a podvodným pokusům, které používají osobní údaje, aby působily důvěryhodně. Protože číslo CPR je obtížné změnit, záleží více na trvalé obezřetnosti než na jednorázovém řešení. Pokud jste jinde, lekce platí stále: vaše data jsou jen tak v bezpečí, jak je nejslabší účet v každé společnosti, která je uchovává. Pro organizace, zejména IT poskytovatele, kteří pro jiné spravují citlivé záznamy, je vzkaz ještě jednodušší. Vynucujte silná hesla, vyžadujte vícefaktorové ověřování u administrátorských účtů a pravidelně prověřujte přihlašovací údaje. ## Shrnutí Příběh hesla při dánském úniku dat CPR ukazuje, že jediný triviální přihlašovací údaj u poskytovatele třetí strany může ohrozit identifikační data celé země. Věnujte dnes několik minut kontrole svých vlastních přihlášení: udělejte každé heslo jedinečným, použijte správce hesel a zapněte dvoufaktorové ověřování. Pro více kontextu si přečtěte naše pokrytí [tvrzení hackera o registru](/en/hacker-claims-123456-opened-denmark-s-8-8m-record-registry) a náš glosářový záznam o [útocích hrubou silou](/en/glossary/brute-force).