Přes účet Pays ApS získal útočník přístup k údajům 8,8 milionu lidí

Přes zneužitý účet společnosti Pays ApS získal útočník přístup k údajům 8,8 milionu lidí v dánském centrálním registru obyvatel CPR. Nejméně tři účty podle médií chránilo heslo „123456“.

Dánská správa registru CPR potvrdila narušení 5. října 2026. Uvedla, že útočník zneužil oprávněný přístup nejmenované dánské firmy. Jednatelka Pays ApS Sophie Laursen 9. října potvrdila, že zneužitý účet patřil této společnosti. Pays ApS používala registr k ověřování záznamů svých firemních zákazníků.

Člověk, který se k útoku přihlásil, řekl deníku Politiken, že se do registru dostal přes účet chráněný heslem „123456“. Politiken uvedl, že stejné heslo měly nejméně tři účty Pays ApS, včetně účtu správce. Toto tvrzení zatím nepotvrdila dánská vláda ani Pays ApS. Firma na další dotazy nereagovala a její web byl odstaven.

Podle dokumentů, které získala stanice TV 2, útočník přistupoval do registru od 10. do 20. září a provedl 14 milionů automatizovaných dotazů. Průnik vyšel najevo 2. října, tedy 12 dní po posledních zaznamenaných dotazech. Úředníka na neobvykle vysokou aktivitu účtu Pays ApS upozornila faktura. Úřad pro ochranu osobních údajů dostal oznámení 4. října.

Registr obsahuje zhruba 11 milionů záznamů, včetně údajů o zemřelých a lidech odstěhovaných do zahraničí. Počet dotčených osob proto převyšuje počet obyvatel Dánska. Člověk, který se k útoku přihlásil, tvrdí, že data nechtěl prodávat ani zveřejnit. Rozsah neoprávněného přístupu to však nemění.

Účet externího dodavatele měl v tomto případě přístup k citlivým údajům ve státním registru. Podle dosud nepotvrzeného tvrzení útočníkovi stačilo jednoduché heslo, zatímco neobvyklý počet dotazů odhalila až faktura. Kontrola opakovaných hesel a účtů správce spolu s upozorněním na neobvyklý počet dotazů by mířila na konkrétní slabiny tohoto případu, přestože nešlo o nový typ útoku.