كلمة المرور الكارثية تهدد معلومات 8.8 مليون شخص / قصة اقتحام نظام هوية المستخدمين

أصبحت شركة تقنية يعمل بها موظفان ثغرة أمنية كبيرة باستخدام كلمة المرور البسيطة "123456"؛ حدث سلط الضوء مرة أخرى على خطر منح الوصول إلى البيانات الحساسة.

يقال إن كلمة المرور "123456"، والتي كانت مدرجة في قائمة كلمات المرور الأكثر شيوعًا وغير الآمنة في العالم لسنوات، منحت المتسللين إمكانية الوصول إلى المعلومات الشخصية لحوالي 8.8 مليون شخص في الدنمارك. تم ربط ما لا يقل عن ثلاثة حسابات مستخدمين في شركة تكنولوجيا المعلومات الصغيرة Paiz بهذا الاختراق الأمني؛ شركة دنماركية كان لديها موظفين اثنين فقط وفقًا للمعلومات المسجلة في يوليو 1405. وقد أدى هذا الوصول غير المصرح به إلى تعريض المعلومات المتعلقة بأرقام التسجيل المركزية الدنماركية للخطر؛ نظام يحافظ على معلومات الهوية لنحو 11 مليون شخص، بما في ذلك المقيمين الحاليين والأشخاص الذين هاجروا إلى الخارج والمتوفين. وبحسب التقارير، استخدم مديرو حسابات الشركة كلمة المرور البسيطة "123456"؛ تعد كلمة المرور التي يحاول المتسللون عادةً إدخالها إلى الحسابات أحد الخيارات الأولى.

وفي يوم الجمعة الموافق 18 أكتوبر 1405، أكد بايز أن وصول الشركة إلى نظام السجل المدني الدنماركي قد تم إساءة استخدامه. وأعلن الرئيس التنفيذي ومالك الشركة أن حق الوصول القانوني للشركة للبحث عن المعلومات في هذا النظام قد تم استخدامه بطريقة غير مصرح بها. كما ادعى قرصان مجهول يوم الخميس 17 أكتوبر أنه المسؤول عن هذا الهجوم وأن الدخول إلى النظام لم يكن صعبا. وبحسب هذا الهاكر فإن القصة بدأت بالكشف عن كلمة المرور لموظف سابق في شركة دنماركية صغيرة. ثم استخدم المهاجم هذا الوصول للدخول إلى النظام ومن خلال إنشاء برنامجين للكمبيوتر، قام باستخراج المعلومات وتخزينها خارج النظام. وادعى هذا المتسلل أنه لم يكن ينوي بيع المعلومات أو نشرها. بدأ الوصول المبلغ عنه في 19 سبتمبر واستمر لمدة 21 يومًا و17 ساعة.

ولكن لماذا تمكنت شركة تضم موظفين اثنين فقط من الوصول إلى مثل هذه المعلومات الهائلة؟ يُستخدم نظام التسجيل المدني الدنماركي لتحديد الأفراد الذين يتعاملون مع المؤسسات الحكومية والشركات الخاصة. يمكن للمنظمات المختلفة، للتحقق من عناوين العملاء أو إدارة سجلات أعضائها، الحصول على ترخيص وصول محدود إلى معلومات هذا النظام. هذه الآلية تجعل الإدارة أسهل، ولكنها في الوقت نفسه تجعل أمن معلومات الملايين من الأشخاص يعتمد جزئيًا على الممارسات الأمنية للشركات المرخص لها. وعلى الرغم من الأبعاد الواسعة لهذا الاختراق الأمني، إلا أن الكشف عن رقم السجل المدني وحده لا يعني أن المتسللين لديهم إمكانية الوصول المباشر إلى الهوية الرقمية للمواطنين؛ لأن الدنمارك تستخدم نظام المصادقة المكون من خطوتين "MetID". ومع ذلك، يمكن لمجرمي الإنترنت استخدام هذه الأرقام لتصميم رسائل ومكالمات ورسائل بريد إلكتروني مزيفة وأكثر تصديقًا، أو دمج المعلومات التي تم الحصول عليها مع البيانات التي تم الكشف عنها في الهجمات السابقة للحصول على فهم أكثر تفصيلاً للضحايا.