Хакер взломал Центральный реестр физических лиц Дании (CPR), получив доступ к данным 8,8 млн человек при населении страны около 6 млн. Злоумышленник воспользовался учётной записью небольшой ИТ-компании Pays ApS с острова Фюн, у которой был легальный доступ к реестру для проверки данных клиентов.
По словам хакера, пароль «123456» использовался минимум для трёх учётных записей компании, включая аккаунт администратора с полными правами.
Несанкционированный доступ начался 10 сентября, и за десять дней система зафиксировала 14 млн автоматизированных поисковых запросов. Атаку обнаружили лишь 2 октября после того, как сотрудник Министерства высшего образования и науки заметил необычную активность Pays.
Администрация CPR подтвердила утечку 5 октября, а 9 октября руководство Pays признало компрометацию доступа. Сайт компании отключён. Датский орган по защите данных Datatilsynet уведомили 4 октября.
Хакер сообщил изданию Politiken, что не планирует продавать или публиковать полученные данные. Реестр CPR содержит около 11 млн записей, включая данные об умерших и выехавших из страны людях.
