根据我们查阅的报道，一起丹麦国家登记系统数据泄露事件暴露了近全体民众的个人信息。攻击者利用了某私营供应商持有的授权访问权限，从国家登记系统中窃取数据。据报道，泄露的记录包括已移民和已去世的人员。头条数字约为900万，不过其他报道援引的数字约为880万，因此不同报道中的确切数字可能有所差异。
这起案件提醒我们，最具后果的隐私泄露往往发生在远离你自身设备的地方。以下是我们目前了解的情况、为什么供应商这一角度至关重要，以及你可以采取哪些措施。
丹麦国家登记系统数据泄露事件经过
根据来源文章，网络犯罪分子并没有破门而入。他们利用了已经授予某私营供应商的访问权限，并用其从国家登记系统中提取数据。其结果是暴露规模几乎覆盖了与该系统相关的所有人，而不仅仅是当前居民。已移民和已去世的个人也被包含在内，因为登记系统在一个人离开该国或去世后仍会长期保留记录。
其他报道将该登记系统称为中央人口登记册（CPR）。报道称，泄露的数据包括姓名、出生日期和唯一的CPR识别号码。我们无法仅凭来源文章确认完整的字段列表，因此请将这些细节视为已报道而非已确定。如果官方通知新增或更正了任何内容，应以官方通知为准。
关键点在于，这些数据由一个机构持有，而此次失败涉及该机构所信任的第三方。
私营供应商的访问权限如何成为薄弱环节
政府和大型组织通常会授予外部公司访问敏感系统的权限，以便它们开展合法工作。每一个这样的连接都是一扇门，整个系统的安全性取决于每扇门的守卫程度。
当访问是合法的时候，许多标准防御措施几乎没有什么可标记的。凭证是有效的，连接是预期的，查询看起来可能像普通业务。关于此事件的报道称，一家私营公司对登记系统的合法访问被滥用，这符合上述模式。
我们在其他地方也见过类似的动态。在Revolut数据泄露事件中，问题不是恶意软件、被利用的软件漏洞或被暴力破解的密码，而是敏感数据访问权限的授予方式存在缺陷。细节与丹麦不同，但教训是共通的：受信任的路径是有吸引力的目标，攻击者更愿意借钥匙而不是撬锁。
对于身份登记系统而言，风险比大多数数据库更高。国家身份证号码不像密码或卡号那样容易更换。
为什么VPN无法保护机构持有的数据
VPN是有用的工具。它们加密你的设备与VPN服务器之间的流量，这在公共Wi-Fi上有帮助，并限制你的互联网服务提供商能看到的内容。但这种保护覆盖的是从你这里传输中的数据。对于机构已经持有的关于你的信息，它无能为力。
在这起案件中，泄露的数据存放在政府登记系统中，是通过供应商的访问权限被获取的。受害者的自身连接、设备或浏览习惯与此毫无关系。VPN不会改变名单上任何一个人的结局，强个人密码或谨慎的上网习惯也不会。
这并不是反对隐私工具的理由，而是呼吁对每种工具的作用保持现实态度。个人工具减少的是你在连接你这端的暴露。像这样的泄露事件取决于组织如何管理访问权限、供应商和监控，而这些是个人无法控制的。
这对你意味着什么
如果你属于受影响人群，或者你曾经在丹麦登记过，实际风险不是单一戏剧性事件，而是一条长长的滥用尾巴。身份数据可被用于冒充、欺诈性申请以及引用真实个人细节的令人信服的钓鱼信息。
其他国家的民众在身份数据泄露后也面临过这种后续风险。澳大利亚的youX泄露事件引发了重大的身份保护响应，包括重新签发驾照。在哥斯达黎加，居民被警告在金融数据泄露出现在暗网后要预料到极具说服力的诈骗。两起案件都表明，个人面临最大风险的地方在于后续影响，而不仅仅是泄露本身。
现在该做什么：
- 留意官方通知。 依赖丹麦当局的通信，直接访问其官方网站，而不是点击消息中的链接。
- 对意外联系保持怀疑。 引用你的姓名、出生日期或身份证号码的电子邮件、短信或电话并不能证明发件人是合法的。攻击者现在可以包含这些细节。
- 监控身份滥用。 检查银行对账单、信用相关记录以及任何政府或服务账户，留意你不认识的活动。
- 保护你的账户。 使用唯一密码、密码管理器和多因素认证，尽可能使用身份验证器应用或安全密钥而非短信。
- 谨慎分享你的身份证号码。 只在真正需要时提供，并核实索取者的身份。
- 不要忘记亲属。 由于据报道泄露数据包括已去世人员，家属可能希望留意有人试图滥用已故亲属身份的情况。
要点总结
丹麦国家登记系统数据泄露事件表明，你的隐私部分取决于你从未选择过的组织和从未听说过的供应商。你无法阻止这一点，但可以限制损害。对定向钓鱼保持警惕，关注你的财务和身份记录，并用强大、唯一的凭证和多因素认证锁定你的账户。
想了解其他身份数据泄露事件如何演变以及后续响应，请阅读我们对澳大利亚youX泄露事件和哥斯达黎加金融数据泄露的报道。模式是一致的：你越早采取实际措施，攻击者利用你泄露信息的机会就越少。
