Se reportó la filtración de datos de 8.8 millones de personas en Dinamarca debido al uso de la contraseña 123456.

Una persona que se atribuye la responsabilidad de la brecha del Registro Central de Personas (CPR) de Dinamarca afirma que obtuvo acceso a través de la cuenta de una empresa de TI protegida por la contraseña "123456".

La persona dijo al medio de noticias danés Politiken que no tenía intención de vender ni filtrar los datos. El periódico informó que al menos tres cuentas de la empresa, incluida una cuenta de administrador, utilizaban la misma contraseña.

La administración del CPR de Dinamarca confirmó una brecha que afectó a la información perteneciente a 8,8 millones de personas el 5 de octubre, añadiendo que se abusó del acceso legal de una empresa danesa al sistema CPR.

No nombró a Pays ApS, con sede en Funen, como la empresa en cuestión, pero la directora general Sophie Laursen confirmó el 9 de octubre que su acceso había sido explotado.

El sitio web de Pays ha sido retirado y la empresa no ha respondido a la solicitud de más información sobre las afirmaciones de la contraseña.

Pays tenía acceso autorizado al sistema CPR para proporcionar servicios como la validación de los registros de clientes comerciales.

El gobierno danés afirma que se accedió a información relativa a 8,8 millones de personas. El registro contiene aproximadamente 11 millones de registros, incluidos los de personas fallecidas y personas que se han mudado al extranjero. El gobierno no respondió a las preguntas sobre los presuntos fallos de la contraseña.

Según documentos obtenidos por la emisora TV 2, el atacante obtuvo acceso al sistema CPR el 10 de septiembre y realizó 14 millones de búsquedas automatizadas entre entonces y el 20 de septiembre.

La intrusión fue detectada el 2 de octubre, 12 días después de las últimas búsquedas reportadas.

Mikkel Leihardt, director del ministerio de educación superior y ciencia del gobierno, dijo a los reporteros en una conferencia de prensa que el ataque fue descubierto después de que un empleado del departamento encontrara una factura que indicaba una actividad inusualmente alta por parte de Pays.

La autoridad de protección de datos danesa, Datatilsynet, fue notificada el 4 de octubre y el gobierno reveló el ataque al día siguiente. 

Fuente:
TheRegister