丹麦CPR数据泄露中使用的弱密码是什么？

使用的密码是“123456”，据报道至少用于Pays的三个账户，其中包括一个管理员账户。

这起泄露事件中有多少个国家身份证号码被暴露？

约880万个丹麦CPR号码相关信息在这起泄露事件中被暴露。

它们持续存在，是因为默认凭据从未被更改，共享账户或服务账户被匆忙创建，而且密码规则往往没有对管理员执行。

CPR号码无法轻易重置，并且通常一生保持不变，因此其暴露远比密码被攻陷更为严重。

组织可以阻止常见密码和此前已泄露的密码，要求多因素认证，限制登录尝试，并审查和移除未使用或共享的账户。

一个弱管理员密码与一起重大丹麦数据泄露事件相关联，该事件暴露了约880万个国家身份证号码相关信息。据报道，位于菲英岛的IT公司Pays至少有3个账户使用了密码“123456”，其中包括一个管理员账户。这起丹麦CPR数据泄露密码事件直白地提醒人们，个人数据面临的最大风险往往来自最简单的错误。

这起泄露事件涉及与丹麦CPR号码相关的数据，CPR号码是丹麦全国使用的国家身份证号码。此次暴露与总部位于菲英岛的IT公司Pays有关，也与该公司 reportedly 依赖“123456”作为密码的账户有关。其中一个账户拥有管理员权限，这通常意味着比标准用户账户拥有更广泛的访问权限。

这里的细节来自报道，密码被描述为“据报道”使用。关于一名黑客如何获得访问权限的另一项说法，已在我们早前的文章黑客声称“123456”打开了丹麦880万记录登记系统中进行了报道。希望了解该说法完整来回经过的读者，应从那里开始阅读。

引人注目的是弱点所在的位置。数据被暴露，并不是因为个人在自己的账户上重复使用了密码。它与一家第三方IT提供商有关，这意味着公民无法控制或了解保护其身份数据的安全实践。

人们很容易把“123456”这样的密码当作一次性的尴尬事件。但在实践中，它之所以持续存在，是因为组织和个人的行为方式。默认凭据在部署期间被设置，然后从未更改。共享账户或服务账户是在匆忙中创建的。密码规则没有被执行，或者只对普通员工执行，而不对管理员执行。

攻击者知道这一点。猜测最常见的密码是可用成本最低的技术之一，而且它与暴力破解攻击密切相关，后者指攻击者系统性地尝试各种组合，直到其中一个奏效。对于像“123456”这样高度可预测的密码，攻击者甚至不需要太多计算能力。一份简短的最常见密码列表就足够了。

管理员账户会提高风险。被攻陷的管理员登录权限可能允许访问数据、设置和其他账户，因此那里的弱凭据可能造成格外严重的后果。组织可以实施的基本控制包括：

CPR号码不像密码。你无法轻易重置它，而且对大多数人来说，它一生都保持不变。这正是与880万个CPR号码相关的数据暴露如此重大的原因：该标识符在泄露后不能简单地轮换。

单独来看，国家身份证号码并不是你银行账户的钥匙。风险在于组合使用。如果攻击者将身份识别信息与其他信息配对，他们可能会尝试冒名顶替、利用真实细节让钓鱼信息听起来可信，或尝试回答账户恢复问题。诈骗者往往依赖一条似乎知道你是谁的信息。

实际应对方式是保持警惕，而不是恐慌。对意外的电话、电子邮件或短信保持怀疑，尤其是当它们索要密码或机密信息时，即使发送者似乎知道个人细节。合法组织通常不会以这种方式要求你交出凭据。

你无法修复供应商的密码政策，但你可以确保自己的账户不会成为下一个薄弱环节。从以下步骤开始：

如果你住在丹麦，主要要点是警惕那些利用个人细节显得可信的钓鱼和冒名顶替企图。由于CPR号码很难更改，持续保持谨慎比一次性修复更重要。如果你在其他地方，这个教训仍然适用：你的数据安全性，取决于每一家持有它的公司中最薄弱的那个账户。

对于组织，尤其是为他人处理敏感记录的IT提供商，信息更简单。强制执行强密码，要求管理员账户使用多因素认证，并定期审计凭据。

这起丹麦CPR数据泄露密码事件表明，第三方提供商处的一个微不足道的凭据就可能让整个国家的身份数据面临风险。今天花几分钟审计你自己的登录信息：让每个密码都唯一，使用密码管理器，并启用双重认证。欲了解更多背景，请阅读我们对黑客关于该登记系统的说法的报道，以及我们关于暴力破解攻击的词汇条目。