Dane 8,8 mln osób z duńskiego rejestru CPR trafiły w niepowołane ręce. Władze zmieniają zasady bezpieczeństwa

Nieuprawnione osoby uzyskały dostęp do nazwisk, adresów, numerów CPR i innych informacji dotyczących około 8,8 mln osób zapisanych w duńskim rejestrze ludności. Masowe zapytania trwały około dziesięciu dni i zostały wykryte dopiero po pojawieniu się wyjątkowo wysokiego rachunku za korzystanie z systemu. Duńskie władze ostrzegają teraz, że samo nazwisko, adres i CPR nie powinny być traktowane jako wystarczający dowód tożsamości.

Duńskie Ministerstwo Nauki, Szkolnictwa Wyższego i Spraw Cyfrowych poinformowało 5 października o jednym z najpoważniejszych incydentów dotyczących Centralnego Rejestru Osób – CPR.

Według oficjalnego komunikatu ministerstwa osoby nieuprawnione wykorzystały legalny dostęp niewielkiej prywatnej firmy do systemu i uzyskały dostęp do informacji dotyczących około 8,8 mln zarejestrowanych osób.

Nie oznacza to 8,8 mln obecnych mieszkańców Danii.

Rejestr CPR obejmuje około 11 mln osób – również tych, które wyprowadziły się z kraju oraz osoby zmarłe.

Włamanie trwało około dziesięciu dni

Minister Christina Egelund poinformowała, że nadużywanie dostępu trwało około dziesięciu dni we wrześniu.

Administracja CPR zauważyła nietypową aktywność wieczorem w piątek 2 października. Dopiero w kolejnych dniach ustalono skalę zdarzenia.

6 października pojawiła się jednak nowa informacja.

Okazało się, że pierwszym sygnałem alarmowym nie był automatyczny system bezpieczeństwa wykrywający miliony nietypowych zapytań.

Był nim bardzo wysoki rachunek wystawiony firmie posiadającej dostęp do CPR.

Za wykonywanie zapytań w systemie przedsiębiorstwa ponoszą opłaty. Liczba operacji była tak duża, że wysokość należności zwróciła uwagę administracji.

Christina Egelund przyznała wcześniej, że zabezpieczenia wokół dostępu tej firmy nie były wystarczająco solidne.

Dostęp przedsiębiorstwa został zablokowany.

Nie wiadomo jeszcze, kto stoi za operacją

Władze nie ujawniły nazwy prywatnej firmy, której uprawnienia zostały wykorzystane.

Nie wiadomo również, kto przeprowadził operację ani w jaki dokładnie sposób przejęto lub wykorzystano legalny dostęp przedsiębiorstwa.

Sprawa została przekazana Datatilsynet oraz policji.

Duński urząd ochrony danych poinformował, że w systemie wykonywano bardzo dużą liczbę automatycznych zapytań służących do identyfikowania prawidłowych numerów CPR.

Datatilsynet otrzymał oficjalne zgłoszenie 4 października i rozpoczął własne postępowanie dotyczące między innymi tego, jak do incydentu mogło dojść oraz kto odpowiada za przetwarzanie danych.

Śledztwo karne prowadzi również National enhed for Særlig Kriminalitet – NSK.

Na tym etapie śledczy nie wykluczają żadnego scenariusza, również udziału podmiotów zagranicznych.

„8,8 mln” nie oznacza, że pobrano całą bazę CPR

To rozróżnienie jest istotne.

Ministerstwo mówi o nieuprawnionym dostępie do danych około 8,8 mln zarejestrowanych osób.

Nie oznacza to, że intruzi otrzymali pełny rekord CPR każdej z tych osób ani że skopiowali wszystkie informacje przechowywane w centralnym rejestrze.

Legalny dostęp przedsiębiorstw do CPR jest ograniczony przepisami.

Zgodnie z informacjami CPR-kontoret prywatne firmy mogą w określonych okolicznościach uzyskiwać m.in. aktualne nazwisko i adres, informacje o wyjeździe z kraju, zgonie, niektórych formach ochrony danych czy opiece prawnej.

Nie każda firma ma dostęp do wszystkich danych przechowywanych w CPR.

Dlatego na obecnym etapie nie można mówić o wycieku kompletnej bazy zawierającej wszystkie informacje urzędowe dotyczące 8,8 mln osób.

Potwierdzone są przede wszystkim numery CPR, nazwiska, adresy oraz inne informacje mieszczące się w zakresie uprawnień wykorzystywanego dostępu.

Osoby z ochroną adresu były częściowo zabezpieczone

Według dotychczasowego przeglądu zdarzenia osoby mające w CPR aktywną navne- og adressebeskyttelse, czyli ochronę nazwiska i adresu, nie zostały objęte nieuprawnionym dostępem do tych konkretnych informacji.

Nie należy jednak interpretować tego jako potwierdzenia, że wszystkie dane takich osób były całkowicie poza zasięgiem incydentu.

Ministerstwo mówi konkretnie o ochronie nazwiska i adresu.

Śledztwo w sprawie pełnego zakresu naruszenia nadal trwa.

Numer CPR nie jest hasłem

Duński personnummer składa się z dziesięciu cyfr.

Pierwsze sześć odpowiada dacie urodzenia, a cztery ostatnie tworzą numer indywidualny. Ostatnia cyfra wskazuje również płeć zarejestrowaną w systemie.

Numer wykorzystywany jest praktycznie w całym duńskim systemie administracyjnym: w ochronie zdrowia, podatkach, bankowości, ubezpieczeniach i kontaktach z urzędami.

Nie jest jednak hasłem.

Samo poznanie numeru CPR nie umożliwia zalogowania się do MitID, banku ani publicznych usług cyfrowych.

Problem zaczyna się wtedy, gdy CPR zostanie połączony z nazwiskiem, adresem, datą urodzenia i innymi informacjami o konkretnej osobie.

Taki zestaw może znacznie zwiększyć wiarygodność oszustwa.

„Dzień dobry, dzwonię z banku. Znam pana CPR…”

Przestępca może zadzwonić i podać prawdziwe:

imię i nazwisko, adres, datę urodzenia i numer CPR.

Dla wielu osób taka rozmowa może brzmieć wiarygodnie.

Następnie oszust może poprosić o zaakceptowanie operacji w MitID, przekazanie kodu, zalogowanie się przez przesłany link albo podanie danych karty.

To właśnie przed takim scenariuszem ostrzega teraz Sikkerdigital.

Władze zalecają, aby:

• nie przekazywać nikomu danych logowania do MitID, haseł, kodów jednorazowych ani danych karty,
• nie klikać linków przesłanych w niespodziewanych SMS-ach i e-mailach,
• samodzielnie wejść na oficjalną stronę firmy lub urzędu,
• przerwać podejrzaną rozmowę i zadzwonić ponownie na oficjalny numer instytucji,
• rozważyć aktywowanie ostrzeżenia kredytowego.

Dania właśnie zmieniła zalecenia dla firm

6 października, dzień po ujawnieniu incydentu, duńskie służby wydały również nowe zalecenia dla przedsiębiorstw i urzędów.

Ich znaczenie jest duże.

Nazwisko, adres, data urodzenia i CPR nie powinny już wystarczać do potwierdzenia, że osoba po drugiej stronie telefonu lub internetu rzeczywiście jest tym, za kogo się podaje.

Sikkerdigital zaleca stosowanie dodatkowych metod, np. logowania przez MitID, jednorazowego kodu wysłanego na wcześniej zapisany numer telefonu, oddzwonienia na numer już znajdujący się w systemie albo – przy szczególnie ważnych operacjach – osobistego sprawdzenia dokumentu tożsamości.

Dotyczy to zwłaszcza sytuacji związanych ze zmianą danych kontaktowych, wypłatą środków, zmianą numeru telefonu, resetowaniem haseł, dostępem do informacji osobistych albo zakupami na kredyt.

W praktyce incydent zmienił więc nie tylko sytuację konkretnych osób.

Podważył powszechną praktykę traktowania znajomości CPR jako dodatkowego dowodu tożsamości.

Można ustawić ostrzeżenie kredytowe

Osoba obawiająca się kradzieży tożsamości może w Danii aktywować w CPR tzw. kreditadvarsel.

Jest to oznaczenie informujące firmy, że powinny zachować szczególną ostrożność przy udzielaniu pożyczki lub kredytu na dane konkretnej osoby.

Można je aktywować samodzielnie na borger.dk.

Nie jest to całkowita blokada udzielania kredytów. Firmy nie mają obowiązku korzystania z tej funkcji, ale oznaczenie ma utrudnić oszustowi zaciągnięcie zobowiązania na cudze dane.

Władze szczególnie zalecają rozważenie takiego rozwiązania osobom, które zauważą konkretne oznaki próby wykorzystania ich tożsamości.

Minister nie wyklucza nawet nowych numerów CPR

Po spotkaniu z komisjami Folketingu Christina Egelund poinformowała 6 października, że rząd zlecił pełny przegląd bezpieczeństwa systemu CPR.

Na tym etapie minister nie wyklucza żadnych zmian.

Zapytana o możliwość nadania części osób nowych numerów CPR odpowiedziała, że jest jeszcze zbyt wcześnie, aby podjąć taką decyzję.

Nie ma również harmonogramu zakończenia audytu.

Władze chcą najpierw ustalić, jak mogło dojść do wykonywania milionów zapytań przez około dziesięć dni bez wcześniejszego zatrzymania dostępu.

Ekspert: największy taki incydent w historii CPR

Jens Myrup Pedersen, profesor cyberbezpieczeństwa na Aalborg Universitet, określił sprawę jako największe dotychczas naruszenie dotyczące duńskiego rejestru CPR.

Jego zdaniem konsekwencją powinno być definitywne odejście od myślenia, że znajomość numeru CPR jest czymś, co może służyć do potwierdzania tożsamości.

Podobny wniosek wynika z wydanych następnego dnia zaleceń Styrelsen for Samfundssikkerhed.

Numer CPR powinien przede wszystkim identyfikować osobę w systemach administracyjnych, a nie działać jak tajne hasło znane tylko właścicielowi.

Po incydencie dotyczącym 8,8 mln osób założenie, że jego znajomość potwierdza tożsamość rozmówcy, stało się jeszcze trudniejsze do obrony.

Kilka dni wcześniej zaatakowano DTU

Sprawa CPR pojawiła się niemal równocześnie z innym dużym incydentem w Danii.

2 października Danmarks Tekniske Universitet poinformował, że cyberprzestępcy uzyskali dostęp do systemu zarządzania tożsamością i uprawnieniami DTUBasen.

Według oficjalnego komunikatu DTU napastnicy pobrali dużą ilość informacji, a zdarzenie potencjalnie dotyczy nawet 200 tys. obecnych i byłych użytkowników.

Uniwersytet przyznał, że nie jest w stanie ustalić dokładnie, które dane zostały skopiowane ani ile osób faktycznie dotknął atak.

Nie ma obecnie dowodów wskazujących, że włamanie do DTU i nadużycie dostępu do rejestru CPR są ze sobą powiązane.

Należy traktować je jako dwa oddzielne zdarzenia.

W przypadku CPR najważniejsze pytania wciąż pozostają bez odpowiedzi: kto wykonywał miliony automatycznych zapytań, w jaki sposób uzyskał kontrolę nad legalnym dostępem prywatnej firmy i co zamierza zrobić z uzyskanymi danymi.