En hacker hevder at et av de svakeste passordene man kan tenke seg, «123456», var veien inn til data knyttet til det danske nasjonale registeret, som dekker 8,8 millioner poster. Hevdet, rapportert av Tom's Hardware, peker på et IT- og datatjenesteselskap med svake passord som kilden til kompromitteringen. Historien om det danske nasjonale registeret og 123456 er fortsatt en påstand, ikke en bevist fremstilling av hendelsesforløpet, men den illustrerer et problem sikkerhetsteam kjenner godt: et lands data er bare så trygge som den svakeste innloggingen hos leverandørene som kan nå dem.

Hva hackeren hevder skjedde i Danmark

Ifølge rapporten fra Tom's Hardware sier hackeren at et passord på «123456» var det som slapp dem inn. Rapporten knytter opprinnelsen til hacket til et IT- og datatjenesteselskap som angivelig brukte svake passord. Tallet knyttet til hendelsen er 8,8 millioner poster knyttet til det danske nasjonale registeret.

Noen forbehold er verdt å si klart ut. Kildematerialet vi har, er en overskrift og et sammendrag, så vi kan bare beskrive påstanden slik den presenteres der. Vi kan ikke bekrefte de fulle tekniske detaljene, hvilke kontoer som var involvert, eller nøyaktig hvilke datafelt som ble tatt. Hackerpåstander kan være overdrevet, og offisielle funn avviker noen ganger fra det angripere sier offentlig. Lesere bør behandle detaljene som påstander inntil organisasjonene som er involvert, gir sin egen redegjørelse.

Hvordan et svakt leverandørpassord åpner data i nasjonal skala

Det interessante med denne historien er ikke passordet i seg selv. Det er hvor passordet befant seg. Store databaser blir ofte godt bevoktet i kjernen, men selskapene som kobler til dem, drifter dem eller behandler data på deres vegne, kan bli møtt med løsere standarder. Hvis en angriper kan logge inn som leverandør, kan de arve den tilgangen leverandøren er blitt gitt.

Et passord som «123456» er blant de første gjetningene ethvert automatisert verktøy prøver. Uten multifaktorautentisering (MFA), som krever et andre bevis på identitet som en kode eller en fysisk nøkkel, er et riktig gjetning ofte alt som skal til. Legg til bred tilgang, og én svak legitimasjon kan bli til eksponering for millioner av mennesker.

Dette er et tilbakevendende mønster i leverandørrelaterte hendelser. Vår dekning av en hackers påstand om tyveri av 35 GB Accenture-kildekode og av HCLTech som benekter et brudd etter en ansattdatapåstand involverer begge store IT-tjenesteselskaper, den typen organisasjoner som sitter mellom kunder og sensitive systemer. Disse sakene er forskjellige i detaljene, men de deler den samme lærdommen: tredjeparts IT-leverandører er et attraktivt mål fordi de konsentrerer tilgang.

Hva danske innbyggere bør være oppmerksomme på

Hvis du bor i Danmark, eller har personopplysninger hos danske institusjoner, trenger du ikke å få panikk, men noen vaner er fornuftige mens detaljene kommer frem:

  • Vær skeptisk til uventede meldinger. E-poster, tekstmeldinger eller samtaler som refererer til dine personopplysninger, kan brukes for å virke legitime. Bekreft ved å kontakte organisasjonen via en kanal du allerede stoler på, ikke via lenker eller numre i meldingen.
  • Se opp for pressetaktikker. Krav om hastevirkning, betaling eller «bekreft identiteten din» er klassiske tegn på svindel.
  • Sjekk offisielle kanaler for oppdateringer. Stol på uttalelser fra relevante myndigheter fremfor innlegg i sosiale medier eller skjermbilder fra forum.
  • Gå gjennom kontoene dine. Se etter ukjent aktivitet på bank-, e-post- og nettjenestekontoer.

Fordi vi ikke kan si fra kilden hvilke datatyper som var involvert, bør du anta at enhver personopplysning kan brukes i en overbevisende svindel og være forsiktig.

Passordbehandlere og MFA: å stoppe denne typen brudd

Forsvaret mot en svikt i stil med «123456» er enkelt og godt forstått.

Bruk en passordbehandler. En passordbehandler genererer og lagrer lange, tilfeldige, unike passord, slik at du aldri trenger å finne på eller huske dem. Unike passord betyr også at én kompromittert innlogging ikke kan låse opp de andre kontoene dine.

Slå på MFA overalt hvor det tilbys. Selv om et passord blir gjettet eller stjålet, kan en andre faktor stoppe innloggingen. Foretrekk en autentiseringsapp eller en fysisk sikkerhetsnøkkel fremfor SMS-koder der det er mulig.

For organisasjoner: revider leverandørtilgang. Selskaper som kobler til sensitive systemer, bør håndheve passordregler, kreve MFA for hver konto og fjerne kontoer som ikke lenger er nødvendige. Kunder og offentlige organer bør forvente det samme av sine leverandører.

Disse hendelsene er ikke begrenset til én sektor. Se også vår rapportering om MCBS løsepengevirusbrudd som påvirker 1,3 mill. pasienter, hvor en tjenesteleverandørs svikt nådde menneskene hvis data den håndterte.

Hva dette betyr for deg

Du kan ikke kontrollere hvordan en leverandør beskytter innloggingene sine, men du kan begrense skaden når noe går galt. Sterke, unike passord og MFA reduserer sjansen for at dine egne kontoer blir den neste svake lenken, og sunn skepsis til uoppfordrede meldinger demper det vanligste oppfølgingsangrepet: svindel bygget på lekkede personopplysninger.

Viktige punkter

  • Påstanden om det danske nasjonale registeret og 123456 er ubekreftet, men den passer til et kjent mønster der angripere bruker en svak legitimasjon hos en tredjepartsleverandør.
  • Behandle meldinger som bruker navnet, adressen eller ID-nummeret ditt som potensielt svindelaktige inntil du bekrefter dem selv.
  • Erstatt svake eller gjenbrukte passord med unike passord generert av en passordbehandler.
  • Aktiver MFA på e-post, bank og enhver konto som støtter det.
  • Les den relaterte dekningen av leverandørbrudd hos Accenture og HCLTech for å se hvordan tredjeparts IT-risiko gjentar seg, og bruk ti minutter i dag på å fikse ditt eget svakeste passord.