Ein Hacker behauptet, dass eines der schwächsten vorstellbaren Passwörter, „123456“, der Weg zu Daten im Zusammenhang mit dem dänischen nationalen Register war, das 8,8 Millionen Datensätze umfasst. Die Behauptung, über die Tom's Hardware berichtet, deutet auf ein IT- und Datendienstleistungsunternehmen mit schwachen Passwörtern als Quelle der Kompromittierung hin. Die Geschichte um die Verletzung des dänischen nationalen Registers und „123456“ ist noch eine Behauptung, kein bewiesener Ablauf der Ereignisse, aber sie veranschaulicht ein Problem, das Sicherheitsteams gut kennen: Die Daten eines Landes sind nur so sicher wie der schwächste Login bei den Zulieferern, die darauf zugreifen können.

Was der Hacker im Fall Dänemark behauptet

Laut dem Bericht von Tom's Hardware sagt der Hacker, ein Passwort „123456“ habe ihm den Zugang ermöglicht. Der Bericht führt den Ursprung des Hacks auf ein IT- und Datendienstleistungsunternehmen zurück, das Berichten zufolge schwache Passwörter verwendete. Die dem Vorfall zugeordnete Zahl sind 8,8 Millionen Datensätze im Zusammenhang mit dem dänischen nationalen Register.

Einige Warnhinweise sollten klar ausgesprochen werden. Das uns vorliegende Quellmaterial ist eine Schlagzeile und eine Zusammenfassung, daher können wir die Behauptung nur so beschreiben, wie sie dort dargestellt wird. Wir können die vollständigen technischen Details, welche Konten betroffen waren oder genau welche Datenfelder entwendet wurden, nicht bestätigen. Hackerbehauptungen können übertrieben sein, und offizielle Feststellungen weichen manchmal von dem ab, was Angreifer öffentlich sagen. Leser sollten die Einzelheiten als Vorwürfe behandeln, bis die beteiligten Organisationen ihre eigene Darstellung liefern.

Wie ein schwaches Zulieferer-Passwort Daten in nationalem Maßstab öffnet

Der interessante Teil dieser Geschichte ist nicht das Passwort selbst. Es ist der Ort, an dem das Passwort saß. Große Datenbanken werden im Zentrum oft sorgfältig geschützt, doch die Unternehmen, die sich mit ihnen verbinden, sie hosten oder Daten in ihrem Auftrag verarbeiten, unterliegen möglicherweise lockereren Standards. Wenn ein Angreifer sich als Zulieferer anmelden kann, erbt er möglicherweise den gesamten Zugriff, der diesem Zulieferer gewährt wurde.

Ein Passwort wie „123456“ gehört zu den ersten Vermutungen, die jedes automatisierte Tool ausprobiert. Ohne Multi-Faktor-Authentifizierung (MFA), die einen zweiten Identitätsnachweis wie einen Code oder einen Hardwareschlüssel verlangt, reicht oft eine richtige Vermutung aus. Kommt weitreichender Zugriff hinzu, kann eine einzige schwache Anmeldeinformation zur Exposition von Millionen Menschen führen.

Dies ist ein wiederkehrendes Muster bei Vorfällen mit Zulieferern. Unsere Berichterstattung über die Behauptung eines Hackers, 35 GB Accenture-Quellcode gestohlen zu haben und über HCLTech, das eine Verletzung nach einer Behauptung über Mitarbeiterdaten bestreitet betrifft jeweils große IT-Dienstleistungsunternehmen, also jene Art von Organisationen, die zwischen Kunden und sensiblen Systemen stehen. Diese Fälle unterscheiden sich im Detail, aber sie teilen dieselbe Lehre: IT-Drittanbieter sind ein attraktives Ziel, weil sie Zugriff bündeln.

Worauf dänische Einwohner achten sollten

Wenn Sie in Dänemark leben oder personenbezogene Daten bei dänischen Institutionen hinterlegt haben, müssen Sie nicht in Panik verfallen, doch einige Gewohnheiten sind sinnvoll, während Details ans Licht kommen:

  • Seien Sie skeptisch bei unerwarteten Nachrichten. E-Mails, SMS oder Anrufe, die sich auf Ihre persönlichen Daten beziehen, können genutzt werden, um glaubwürdig zu wirken. Verifizieren Sie, indem Sie die Organisation über einen Kanal kontaktieren, dem Sie bereits vertrauen, nicht über Links oder Nummern in der Nachricht.
  • Achten Sie auf Drucktaktiken. Dringende Aufforderungen zu handeln, zu zahlen oder „Ihre Identität zu bestätigen“ sind klassische Anzeichen von Betrug.
  • Prüfen Sie offizielle Kanäle auf Updates. Verlassen Sie sich auf Erklärungen der zuständigen Behörden statt auf Social-Media-Beiträge oder Foren-Screenshots.
  • Überprüfen Sie Ihre Konten. Achten Sie auf ungewohnte Aktivitäten bei Bank-, E-Mail- und Online-Dienstkonten.

Da wir aus der Quelle nicht sagen können, welche Datentypen betroffen waren, gehen Sie davon aus, dass jede personenbezogene Information in einem überzeugenden Betrug verwendet werden könnte, und bleiben Sie vorsichtig.

Passwort-Manager und MFA: Diese Art von Verletzung stoppen

Die Abwehrmaßnahmen gegen ein Versagen im Stil von „123456“ sind einfach und gut verstanden.

Verwenden Sie einen Passwort-Manager. Ein Passwort-Manager erzeugt und speichert lange, zufällige, einzigartige Passwörter, sodass Sie sie nie erfinden oder sich merken müssen. Einzigartige Passwörter bedeuten außerdem, dass ein kompromittierter Login nicht Ihre anderen Konten entsperren kann.

Aktivieren Sie MFA überall, wo sie angeboten wird. Selbst wenn ein Passwort erraten oder gestohlen wird, kann ein zweiter Faktor den Login stoppen. Bevorzugen Sie nach Möglichkeit eine Authenticator-App oder einen Hardwaresicherheitsschlüssel gegenüber SMS-Codes.

Für Organisationen: Überprüfen Sie den Zuliefererzugriff. Unternehmen, die sich mit sensiblen Systemen verbinden, sollten Passwortregeln durchsetzen, MFA für jedes Konto verlangen und Konten entfernen, die nicht mehr benötigt werden. Kunden und öffentliche Stellen sollten dasselbe von ihren Zulieferern erwarten.

Diese Vorfälle sind nicht auf einen Sektor beschränkt. Siehe auch unsere Berichterstattung über die MCBS-Ransomware-Verletzung, die 1,3 Mio. Patienten betrifft, bei der das Versagen eines Dienstleisters die Menschen erreichte, deren Daten er verarbeitete.

Was das für Sie bedeutet

Sie können nicht kontrollieren, wie ein Zulieferer seine Logins schützt, aber Sie können den Schaden begrenzen, wenn etwas schiefgeht. Starke, einzigartige Passwörter und MFA verringern die Chance, dass Ihre eigenen Konten zum nächsten schwachen Glied werden, und gesunde Skepsis gegenüber unaufgeforderten Nachrichten dämpft den häufigsten Folgeangriff: Betrug auf Basis durchgesickerter persönlicher Daten.

Die wichtigsten Erkenntnisse

  • Die Behauptung zur Verletzung des dänischen nationalen Registers und „123456“ ist unbestätigt, passt aber zu einem vertrauten Muster, bei dem Angreifer eine schwache Anmeldeinformation bei einem Drittanbieter nutzen.
  • Behandeln Sie Nachrichten, die Ihren Namen, Ihre Adresse oder Ihre Ausweisnummer verwenden, als potenziell betrügerisch, bis Sie sie selbst überprüft haben.
  • Ersetzen Sie schwache oder wiederverwendete Passwörter durch einzigartige, von einem Passwort-Manager generierte.
  • Aktivieren Sie MFA für E-Mail, Banking und jedes Konto, das sie unterstützt.
  • Lesen Sie die verwandte Berichterstattung über Zuliefererverletzungen bei Accenture und HCLTech, um zu sehen, wie sich das IT-Drittanbieterrisiko wiederholt, und nehmen Sie sich heute zehn Minuten Zeit, um Ihr eigenes schwächstes Passwort zu korrigieren.