Danimarka nüfus kayıtlarına iki kişilik bir şirketin erişimiyle girildi, 8,8 milyon kişinin bilgisi alındı

Danimarka’nın merkezi nüfus kayıt sistemi CPR’dan yaklaşık 8,8 milyon kişinin bilgisinin alındığı olayda yeni ayrıntılar ortaya çıktı. Danimarka Araştırma, Eğitim ve Dijitalleşme Bakanlığı 5 Ekim’de olayı duyurmuştu. Bakanlığa göre bilgiler, CPR’da yasal sorgulama yetkisi olan özel bir şirketin erişimi kötüye kullanılarak alındı. Olağandışı sorgular eylül ayında yapıldı. Alınan bilgiler isimleri, adresleri ve kişisel kimlik numarası olan CPR numaralarını kapsıyor. CPR yaklaşık 11 milyon kayıt barındırdığı için bu, kayıtların yüzde 80 kadarı anlamına geliyor. Etkilenenler arasında ülkede yaşayanların yanı sıra ölmüş kişiler ve yurt dışına taşınan vatandaşlar da var.

Erişimi kullanılan şirket, Odense’de faaliyet gösteren ve ticaret siciline göre iki çalışanı olan Pays ApS. Şirketin genel müdürü Sophie Laursen, CPR’da sorgulama yapmak için sahip oldukları yasal erişimin kötüye kullanıldığını doğruladı. Kendini sorumlu olarak tanıtan anonim bir kişi ise Politiken gazetesine konuştu. Anlattıklarına göre erişim, küçük bir Danimarka şirketinin eski bir çalışanına ait sızmış bir şifreyle başladı ve bunun pek de zor olmadığını söyledi. Basına yansıyan iddialar arasında şirketin hesaplarında “123456” şifresinin kullanıldığı da var. Saldırgan verileri satmayı ya da yayımlamayı planlamadığını söylüyor. Bu iddialar resmi makamlar tarafından doğrulanmadı.

Bakan Christina Egelund olayı “son derece ciddi” olarak nitelendirdi ve CPR sisteminin güvenliğinin baştan sona incelenmesini istedi. Şirketin erişimi kesildi, polis soruşturma yürütüyor ve Danimarka veri koruma kurumu Datatilsynet de bir inceleme başlattı. Bakanlığa göre isim ve adres gizliliği bulunan kişilerin bu bilgileri sızıntıya dahil değil.

Yetkililer, ellerindeki bilgilerle kendilerini resmi kurum ya da banka görevlisi gibi tanıtıp güven kazanmaya çalışacak dolandırıcılara karşı vatandaşları uyardı. İstenmeden gelen arama ve mesajlarda şifre ya da tek kullanımlık kod paylaşılmaması gerektiği hatırlatıldı.

Olay, bir sistemin ne kadar iyi korunduğunun, ona erişim verilen en zayıf halkadan bağımsız olmadığını gösteriyor. Devletin en kritik kayıtlarından birine, iki kişilik bir şirketin kolay tahmin edilebilir şifresi ve ayrılmış bir çalışanın kapatılmamış hesabı üzerinden girilebildiği iddia ediliyor. Üçüncü taraflara erişim veren kurumlar için iki adımlı doğrulama, ayrılan çalışanların hesaplarının hemen kapatılması ve olağandışı sorgu hacimlerinin izlenmesi bu yüzden kritik.