Upad u danski registar stanovništva primećen tek pri obračunu potrošnje
Iz danskog centralnog registra stanovništva izvučeni su podaci za oko 8,8 miliona ljudi, a upad je primećen tek kad je zvanični registar obračunavao pretrage za prethodni mesec. Registar vodi ime, adresu i lični broj (CPR) svakog ko je ikada živeo u Danskoj, ukupno oko 11 miliona zapisa, uključujući preminule i iseljene. Napadač nije provalio u sam registar. Iskoristio je ovlašćen pristup jedne manje danske firme koja ima pravo da proverava podatke iz registra. Tokom desetak dana u septembru, preko naloga te firme poslato je oko 14 miliona automatskih upita, kojima su isprobavani mogući lični brojevi građana. Danski broj se sastoji od datuma rođenja i četiri cifre, pa može da se pogađa, a 8,8 miliona pokušaja vratilo je pravu osobu. Prema danskim medijima, uz ime, adresu i broj izneti su i podaci o bračnom stanju, porodičnim vezama i članstvu u Danskoj crkvi. Firme registru plaćaju pretrage, i niko ništa nije primetio do 2. oktobra uveče, kada je pri obračunu za septembar iznos za jednu od njih ispao ogroman. Ministarka za digitalizaciju Christina Egelund rekla je da je reč o „izuzetno ozbiljnom incidentu" i da je o njemu obavestila nadležni skupštinski odbor. Kompromitovani pristup je opozvan, slučaj istražuju policija i agencija za zaštitu podataka, a napadač za sada nije poznat. Građani koji su imali dodatnu zaštitu svojih imena i adresa nisu pogođeni ovim napadom, kao ni sistem za digitalnu identifikaciju MitID.
Jedini indikator u ovom slučaju bio je obračun za naplatu. Kompromitovani nalog je imao pravo na pojedinačne provere, ali sistem nije imao adekvatno ograničenje koje bi onemogućilo 14 miliona upita za deset dana. Pristup je odobren, ali niko nije gledao kako se koristi. Danske vlasti sada savetuju da se lični broj više ne prihvata kao jedini dokaz identiteta, jer ga imaju i napadači. Kod nas JMBG ima sličnu građu: datum rođenja, oznaka regiona, redni broj i kontrolna cifra, pa veliki deo može da se izračuna i bez provale. Broj koji može da se pogodi ne sme da bude jedina provera za dokaz identiteta.
- Ako firma ima pristup registru ili bazi podataka, postavi gornju granicu broja upita i alarm kad se ona pređe
- Prati obim korišćenja svakog naloga za pristup podacima, a ne samo da li je prijava uspela
- Ne prihvataj JMBG kao jedinu potvrdu identiteta u obradi podataka građana
- Ako ti se javi neko ko zna tvoje ime, adresu i matični broj, to nije dokaz da je poziv regularan