En hacker hævder, at en af de svageste tænkelige adgangskoder, "123456", var vejen ind til data knyttet til det danske CPR-register, der dækker 8,8 millioner poster. Hævdet, som er rapporteret af Tom's Hardware, peger på en IT- og datavirksomhed med svage adgangskoder som kilden til kompromitteringen. Historien om bruddet på det danske CPR-register og 123456 er stadig en påstand, ikke en bevist redegørelse for begivenhederne, men den illustrerer et problem, som sikkerhedsteams kender godt: et lands data er kun så sikre som det svageste login hos de leverandører, der kan få adgang til dem.

Hvad hackeren hævder skete i Danmark

Ifølge Tom's Hardware-rapporten siger hackeren, at en adgangskode på "123456" var det, der lukkede dem ind. Rapporten knytter oprindelsen af hacket til en IT- og datavirksomhed, som angiveligt brugte svage adgangskoder. Tallet, der knyttes til hændelsen, er 8,8 millioner poster knyttet til det danske CPR-register.

Et par forbehold er værd at nævne klart. Kildematerialet, vi har, er en overskrift og et resumé, så vi kan kun beskrive påstanden, som den præsenteres der. Vi er ikke i stand til at bekræfte de fulde tekniske detaljer, hvilke konti der var involveret, eller præcis hvilke datafelter der blev taget. Hackeres påstande kan være overdrevne, og officielle konklusioner adskiller sig nogle gange fra, hvad angribere siger offentligt. Læsere bør behandle detaljerne som påstande, indtil de involverede organisationer selv giver deres egen redegørelse.

Hvordan en svag leverandøradgangskode åbner data i national skala

Det interessante ved denne historie er ikke selve adgangskoden. Det er, hvor adgangskoden sad. Store databaser bevogtes ofte omhyggeligt i centrum, men de virksomheder, der forbinder til dem, hoster dem eller behandler data på deres vegne, kan være underlagt løsere standarder. Hvis en angriber kan logge ind som leverandør, kan de overtage den adgang, som leverandøren er blevet tildelt.

En adgangskode som "123456" er blandt de første gæt, ethvert automatiseret værktøj prøver. Uden multifaktorautentificering (MFA), som kræver et andet identitetsbevis såsom en kode eller en hardwarenøgle, er et korrekt gæt ofte alt, der skal til. Tilføj bred adgang, og en enkelt svag legitimationsoplysning kan blive til eksponering for millioner af mennesker.

Dette er et tilbagevendende mønster i leverandørrelaterede hændelser. Vores dækning af en hackers påstand om tyveri af 35 GB Accenture-kildekode og af HCLTech, der benægter brud efter påstand om medarbejderdata involverer begge store IT-servicevirksomheder, den slags organisationer, der sidder mellem kunder og følsomme systemer. Disse sager er forskellige i detaljerne, men de deler den samme lektie: tredjeparts-IT-leverandører er et attraktivt mål, fordi de koncentrerer adgang.

Hvad danske borgere bør være opmærksomme på

Hvis du bor i Danmark, eller har personlige data hos danske institutioner, behøver du ikke at gå i panik, men et par vaner er fornuftige, mens detaljerne kommer frem:

  • Vær skeptisk over for uventede beskeder. E-mails, sms'er eller opkald, der henviser til dine personlige oplysninger, kan bruges til at lyde legitime. Bekræft ved at kontakte organisationen gennem en kanal, du allerede stoler på, ikke gennem links eller numre i beskeden.
  • Vær opmærksom på presstaktikker. Presserende krav om at handle, betale eller "bekræfte din identitet" er klassiske tegn på svindel.
  • Tjek officielle kanaler for opdateringer. Stol på udtalelser fra de relevante myndigheder frem for opslag på sociale medier eller skærmbilleder fra fora.
  • Gennemgå dine konti. Se efter ukendt aktivitet på bank-, e-mail- og onlinekonti.

Da vi ikke ud fra kilden kan sige, hvilke datatyper der var involveret, bør du antage, at enhver personlig information kan bruges i en overbevisende svindel, og forholde dig forsigtigt.

Adgangskodeadministratorer og MFA: at stoppe denne type brud

Forsvaret mod en fejl af typen "123456" er enkelt og velkendt.

Brug en adgangskodeadministrator. En adgangskodeadministrator genererer og gemmer lange, tilfældige, unikke adgangskoder, så du aldrig selv skal opfinde eller huske dem. Unikke adgangskoder betyder også, at et kompromitteret login ikke kan låse op for dine andre konti.

Slå MFA til overalt, hvor det tilbydes. Selv hvis en adgangskode gættes eller stjæles, kan en anden faktor stoppe login. Foretræk en authenticator-app eller en hardware-sikkerhedsnøgle frem for SMS-koder, hvor det er muligt.

For organisationer: revider leverandøradgang. Virksomheder, der forbinder til følsomme systemer, bør håndhæve adgangskoderegler, kræve MFA for hver konto og fjerne konti, der ikke længere er nødvendige. Kunder og offentlige organer bør forvente det samme af deres leverandører.

Disse hændelser er ikke begrænset til én sektor. Se også vores rapportering om MCBS-ransomwarebruddet, der påvirker 1,3 mio. patienter, hvor en serviceudbyders fejl nåede de personer, hvis data den håndterede.

Hvad dette betyder for dig

Du kan ikke kontrollere, hvordan en leverandør beskytter sine logins, men du kan begrænse skaden, når noget går galt. Stærke, unikke adgangskoder og MFA reducerer chancen for, at dine egne konti bliver det næste svage led, og en sund skepsis over for uopfordrede beskeder dæmper det mest almindelige opfølgningsangreb: svindel bygget på lækkede personlige oplysninger.

Vigtige pointer

  • Påstanden om bruddet på det danske CPR-register og 123456 er ubekræftet, men den matcher et velkendt mønster, hvor angribere bruger en svag legitimationsoplysning hos en tredjepartsleverandør.
  • Behandl beskeder, der bruger dit navn, din adresse eller dit ID-nummer, som potentielt svigagtige, indtil du selv har bekræftet dem.
  • Erstat svage eller genbrugte adgangskoder med unikke, genereret af en adgangskodeadministrator.
  • Aktivér MFA på e-mail, bank og enhver konto, der understøtter det.
  • Læs den relaterede dækning af leverandørbrud hos Accenture og HCLTech for at se, hvordan tredjeparts-IT-risiko fortsætter med at gentage sig, og brug ti minutter i dag på at rette din egen svageste adgangskode.