Danimarka nüfus kayıt sistemi (CPR), yakın zamanda gerçekleşen bir siber saldırı ile gündeme geldi. Yaklaşık 8,8 milyon kişiye ait hassas verilerin, üçüncü taraf bir şirket üzerinden sızdırıldığı ortaya çıktı.
Saldırganların sisteme giriş yapmak için oldukça basit bir yöntem kullandığı belirlendi. Olay, kurumların üçüncü taraf erişimlerinde ne kadar dikkatli olması gerektiğini bir kez daha gözler önüne serdi.
Zayıf şifre ve veri sızıntısı
Danimarka’nın ulusal nüfus kayıt sistemi olan CPR, vatandaşların isim, adres, doğum tarihi, vatandaşlık durumu ve medeni hal gibi kritik bilgilerini barındırıyor. Her bireye atanan 10 haneli CPR numarası; sağlık, vergi ve bankacılık gibi pek çok alanda kullanılıyor.
Sisteme sızan saldırganın, Pays ApS adlı üçüncü taraf bir şirketin yasal erişim yetkilerini kötüye kullandığı bildirildi. Saldırganın, eski bir çalışana ait giriş bilgilerini kullandığı ve şifrenin 123456 olduğu iddia edildi.
Bu durum, sistemin güvenliğinin ne kadar savunmasız kaldığını gösteriyor. Saldırgan, üç farklı hesapta da aynı basit şifrenin kullanıldığını belirtti.
Pays ApS, CPR sistemine erişim yetkisi olan şirketlerden biriydi ve bu yetki üzerinden sisteme sızılması, tedarik zinciri saldırılarının tehlikesini ortaya koydu. Şirketin yönetimi, saldırının kendi sistemleri üzerinden gerçekleştiğini doğruladı.
Saldırının detayları ve güvenlik açığı
Yerel medya kuruluşu TV 2’nin aktardığına göre, saldırgan on gün içerisinde 14 milyon otomatik arama gerçekleştirdi. Ay sonunda bir devlet çalışanının, Pays ApS’nin loglarında olağan dışı bir hareketlilik fark etmesiyle ihlal tespit edildi.
Pays ApS’nin web sitesi saldırının ardından geçici olarak çevrim dışı bırakıldı. Saldırgan, verileri sızdırma veya satma niyetinin olmadığını ifade ederek, sistemin zayıf güvenlik önlemlerine şaşırdığını dile getirdi.
Saldırgan, durumu bir benzetme ile açıklayarak, “Birisi tren istasyonunda 10 kilo plütonyum dolu bir bavulu sahipsiz bırakıyor ve bir evsiz onu çalıyor” ifadesini kullandı. Bağımsız siber güvenlik araştırmacısı Emil Hørning, saldırganın yöntemlerinin inandırıcı olduğunu doğruladı.
Saldırgan, Politiken gazetesine CPR numaralarını içeren bir dosya sunarak iddialarını destekledi. Bu kanıtlar, ihlalin boyutunun ciddiyetini gözler önüne serdi.
Soruşturma süreci devam ediyor
CPR tarafından yapılan açıklamada, soruşturmanın devam ettiği ve sistemin güvenlik önlemlerinin artırıldığı belirtildi. İhlal edilen veriler arasında CPR numaralarının yanı sıra isimler ve adresler de bulunuyor.
Bu tür verilerin, hedefe yönelik kimlik avı saldırılarında kullanılabileceği konusunda uzmanlar uyarıyor. Söz konusu saldırı, devlet kurumlarının üçüncü taraf şirketlerle olan veri paylaşım protokollerini yeniden gözden geçirmesi gerektiğini hatırlatıyor.
Güvenlik uzmanları, özellikle eski çalışanlara ait hesapların kapatılmaması veya şifrelerin güncellenmemesinin büyük riskler doğurduğunu vurguluyor. 8,8 milyon kişinin verisinin bu kadar basit bir yöntemle ele geçirilmesi, dijital güvenlik standartlarının önemini bir kez daha kanıtlıyor.
Sizce devlet kurumları, üçüncü taraf şirketlerin erişimlerini denetlemek için yeterli önlemlere sahip mi?
