Sembra che i dati di milioni di danesi siano stati violati per colpa di una password troppo facile

La scorsa settimana, il Ministero dell'Istruzione superiore e della Ricerca della Danimarca ha ammesso una maxi-violazione informatica al database del CPR, l'archivio centrale anagrafico che gestisce i codici previdenziali dei cittadini (l'equivalente della nostra tessera sanitaria) e contiene informazioni su tutti i residenti registrati, i cittadini emigrati e i soggetti deceduti a partire dal 1968. Secondo quanto spiegato nel comunicato ufficiale, i cyber criminali sarebbero riusciti ad accedere ai dati personali di circa 8,8 milioni di persone. Vista l'entità del colpo, le indagini si sono subito concentrate su quella che sembrava essere una sofisticata operazione d'intrusione e aggiramento dei sistemi di sicurezza da parte di hacker esperti. L'esito delle prime indagini sta però facendo emergere un quadro ben più tragicomico. Stando a quanto riportato dai media danesi, gli aggressori si sarebbero infatti insinuati nel prezioso archivio sfruttando la password 123456 utilizzata su almeno tre account interni all'azienda che gestisce il portale, incluso quello dell'amministrore.

Il dettaglio non è ancora stato confermato ufficialmente dalle autorità. La società ha invece riconosciuto che i malintenzionati hanno sfruttato le credenziali associate al suo accesso autorizzato per entrare nel registro.

La falla della password

Al centro della vicenda c'è Pays ApS, società informatica privata con sede a Odense autorizzata a consultare alcune informazioni del registro. Le ricostruzioni dei media hanno rivelato che tre account aziendali erano protetti dall'elementare sequenza di numeri che qualsiasi fornitore di cybersicurezza sconsiglia di utilizzare in qualsiasi ambito. Gli hacker avrebbero quindi sfruttato questa debolezza per accedere a uno degli account abilitati alla consultazione del database anagrafico e sottrarre una grande quantità di dati personali, tra cui nomi, indirizzi, numeri CPR, informazioni sullo stato civile, legami familiari e persino l'appartenenza religiosa dei cittadini.

A far emergere l'attività sospetta sarebbe stata la mole delle consultazioni. Attraverso le credenziali aziendali sarebbero state effettuate circa 14 milioni di ricerche, un volume incompatibile con le esigenze della normale clientela. Gli addebiti hanno prodotto una fattura anomala, mentre l'azienda ha dichiarato di non aver eseguito quelle operazioni. Le ricostruzioni indicano una finestra di accesso non autorizzato durata 21 giorni e 17 ore, conclusa con il blocco del 2 ottobre. La raccolta dei dati, tuttavia, sarebbe avvenuta nell'arco di circa dieci giorni e la durata dell'accesso non sembra coincidere necessariamente con quella dell'esfiltrazione.

Le indagini sono in corso

Il furto è stato rivendicato da una persona anonima che sostiene di aver recuperato una password precedentemente compromessa, appartenuta a un ex dipendente, e di aver utilizzato programmi specifici per estrarre tutti i dati. La ricostruzione non ha ricevuto conferme indipendenti. È altamente probabile che dietro ci sia l'opera di qualche professionista, tuttavia la falla sfruttata è così grossolana che qualsiasi studente di informatica avrebbe potuto sfruttarla indovinando la sequenza 123456 per accedere all'account aziendale.

L'amministrazione ha naturalmente revocato l'accesso a Pays, segnalato l'incidente all'autorità danese per la protezione dei dati e avviato gli accertamenti con la polizia e gli specialisti. Il presunto autore dell'attacco afferma di non voler vendere né pubblicare le informazioni, ma resta da verificare quale destino abbiano avuto i dati copiati e se saranno necessarie ulteriori misure di protezione. La vicenda ricorda da vicino quanto accaduto a Revolut – su Fanpage.it abbiamo raccontato tutta la vicenda – dove la poca attenzione della banca ha consegnato a un gruppo di hacker i dati personali di centinaia di clienti. Anche in questo caso, infatti, l'incidente sembra da imputare più alla leggerezza con cui vengono trattate certe procedure, piuttosto che all'efficienza tecnica delle difese informatiche. È un aspetto su cui molti farebbero bene a riflettere.