Взлом центрального реестра Дании: адреса миллионов граждан оказались в открытом доступе

Дания регулярно возглавляет рейтинги цифровизации: здесь через смартфоны оформляют медицинские услуги, получают справки и общаются с госорганами. Бумажная почта практически исчезла. Высокий уровень доверия к государству привел к тому, что вопросы защиты персональных данных долгое время оставались на периферии общественного внимания. Масштабная утечка в центральном реестре населения (CPR) может это изменить.

Министерство цифровизации Дании сообщило, что посторонние лица получили доступ к системе через учетные данные частной компании, имевшей законное право работать с реестром. Подозрительную активность заметили в прошлую пятницу, хотя само проникновение началось еще в сентябре. Злоумышленники скачали информацию о 8,8 миллиона человек. В список попали имена, адреса и уникальные идентификационные номера (CPR-номера). Всего база содержит записи об 11 миллионах человек, включая тех, кто уехал из страны или умер.

Министр Кристина Эгелунд назвала инцидент «чрезвычайно серьезным». Сейчас власти выясняют, кто именно стоит за атакой и через какую компанию был осуществлен вход в систему.

Угроза безопасности и кража личности

Данные реестра — ценный ресурс для подготовки более сложных атак. Профессор по кибербезопасности Йенс Мюруп Педерсен из Орхусского университета считает эту базу «золотой жилой». Располагая точными личными данными, мошенники могут создавать убедительные фишинговые письма от лица банков или ведомств. Информацию также используют для кражи личности: в Дании медицинской карты часто достаточно, чтобы подтвердить личность в различных учреждениях.

Другой аспект касается физической безопасности. Публикация домашних адресов граждан в условиях гибридных угроз несет прямые риски. Дания активно поддерживает Украину, что делает ее целью для внешних цифровых атак. Теперь место жительства практически любого датчанина, не оформившего специальную защиту адреса, известно преступникам.

Системный сбой доверия

До этого момента датские власти придерживались позиции, что государственные системы надежны, а главная опасность исходит от неосторожных действий самих граждан. На официальном портале по кибербезопасности до сих пор указано, что личная информация «хорошо защищена теми, кто ее хранит». Случившееся опровергает этот тезис.

Педерсен отмечает, что в системе должны были сработать алгоритмы блокировки при подозрительном поведении пользователей, имеющих доступ к базе. Почему автоматика не пресекла массовое скачивание данных в сентябре — вопрос, на который предстоит ответить следствию. Сейчас проверкой безопасности занимается Национальное подразделение по борьбе с преступностью (NSK). О возможности смены CPR-номеров для всех пострадавших говорить пока рано, министерство призывает граждан проявлять повышенную бдительность при получении любых запросов на предоставление личной информации.